Docker-day3-四种网络模式

Docker 的四种网络模式

Docker 本身的技术依赖于 Linux 内模式核虚拟化技术的发展。所以 Docker 对 Linux 内核的特性有很强的依赖。本章主要介绍 Docker 所使用的 Linux 网络技术。

一、网络基础

其中 Docker 使用到的与 Linux 网络有关的技术分别有：网络名称空间、Veth、Iptables、网桥、路由。

1.网络名称空间介绍

为了支持网络协议栈的多个实例，Linux 在网络协议栈中引入了网络名称空间(Network Namespace)，这些独立的协议栈被隔离到不同的命名空间中。处于不同的命名空间的网络协议栈是完全隔离的，彼此之间无法进行网络通信，就好像两个“平行宇宙”。通过这种对网络资源的隔离，就能在一个宿主机上虚拟多个不同的网络环境，而 Docker 正是利用这种网络名称空间的特性，实现了不同容器之间的网络隔离。在 Linux 的网络命名空间内可以有自己独立的 Iptables 来转发、NAT 及 IP 包过滤等功能。
Linux 的网络协议栈是十分复杂的，为了支持独立的协议栈，相关的这些全局变量都必须修改为协议栈私有。最好的办法就是让这些全局变量成为一个 Net Namespace 变量的成员，然后为了协议栈的函数调用加入一个 Namespace 参数。这就是 Linux 网络名称空间的核心。所以的网络设备都只能属于一个网络名称空间。当然，通常的物理网络设备只能关联到 root 这个命名空间中。虚拟网络设备则可以被创建并关联到一个给定的命名空间中，而且可以在这些名称空间之间移动

2.创建一个命名空间

[root@docker1 ~]# ip netns add test1
[root@docker1 ~]# ip netns add test2
[root@docker1 ~]# ip netns ls
test2
test1

1）Veth设备

引入 Veth 设备对是为了在不同的网络名称空间之间进行通信，利用它可以直接将两个网络名称空间链接起来。
由于要连接的两个网络命名空间，所以 Veth 设备是成对出现的，很像一对以太网卡，并且中间有一根直连的网线。
既然是一对网卡，那么我们将其中一端称为另一端的 peer。在 Veth 设备的一端发送数据时，它会将数据直接发送到另一端，并触发另一端的接收操作

2）Veth设备操作

先打通test1与root命名空间的网络

1> 创建Veth设备对

[root@docker1 ~]# ip link add veth type veth peer name veth001
[root@docker1 ~]# ip link show 
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP mode DEFAULT group default qlen 1000
    link/ether 00:0c:29:bc:2b:09 brd ff:ff:ff:ff:ff:ff
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP mode DEFAULT group default qlen 1000
    link/ether 00:0c:29:bc:2b:13 brd ff:ff:ff:ff:ff:ff
			···

2> 绑定命名空间

将veth设备对一端添加到test1命名空间内
veth另一端留给root命名空间

[root@docker1 ~]# ip link set veth001 netns test1
[root@docker1 ~]# ip link show | grep veth
8: veth@if7: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000

# 此时查看不到veth001，进入test1命名空间后，即可查看到
[root@docker1 ~]# ip netns exec test1 bash
[root@docker1 ~]# ip link show
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
7: veth001@if8: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 36:62:62:cd:cf:84 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    
# 因为进入与退出命名空间的主机名是一样的，记得退出到root名称空间
[root@docker1 ~]# exit
exit

3> 给test1内的Veth分配一个IP

# 分配一个IP
[root@docker1 ~]# ip netns exec test1 ip addr add 172.16.0.111/20 dev veth001

# 绑定veth到test1
[root@docker1 ~]# ip netns exec test1 ip link set dev veth001 up

# 查看，绑定+分配成功
[root@docker1 ~]# ip netns exec test1 ip a
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
7: veth001@if8: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state LOWERLAYERDOWN group default qlen 1000
    link/ether 36:62:62:cd:cf:84 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.16.0.111/20 scope global veth001
       valid_lft forever preferred_lft forever

4> 为对端Veth设备分配IP

对端为root命名空间

# 查看，发现此时无IP
[root@docker1 ~]# ip a
	···
8: veth@if7: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
    link/ether 66:ac:b6:d2:81:d3 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    
# 为其分配IP
[root@docker1 ~]# ip addr add 172.16.0.112/20 dev veth

# 再次查看发现IP已分配成功
[root@docker1 ~]# ip a
	···
8: veth@if7: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
    link/ether 66:ac:b6:d2:81:d3 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.16.0.112/20 scope global veth
       valid_lft forever preferred_lft forever

5> 测试互ping

# 此时测试双方可以相互ping通！

- 宿主机vethip的为172.16.0.112
- test1内veth的ip为172.16.0.111

1.在宿主机ping test1
[root@docker1 ~]# ping 172.16.0.111
PING 172.16.0.111 (172.16.0.111) 56(84) bytes of data.
64 bytes from 172.16.0.111: icmp_seq=1 ttl=64 time=0.052 ms
64 bytes from 172.16.0.111: icmp_seq=2 ttl=64 time=0.057 ms
^C
--- 172.16.0.111 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 999ms
rtt min/avg/max/mdev = 0.052/0.054/0.057/0.007 ms


2.在test1命名空间内ping宿主机
[root@docker1 ~]# ip netns exec test1 bash
[root@docker1 ~]# ping 172.16.0.112
PING 172.16.0.112 (172.16.0.112) 56(84) bytes of data.
64 bytes from 172.16.0.112: icmp_seq=1 ttl=64 time=0.103 ms
64 bytes from 172.16.0.112: icmp_seq=2 ttl=64 time=0.068 ms
^C
--- 172.16.0.112 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1012ms
rtt min/avg/max/mdev = 0.068/0.085/0.103/0.019 ms

6> 补充概念

每run起一个容器，则会在ip a内生成一个veth设备，容器清除后，veth设备则会随之清除

3.网桥介绍

Linux 可以支持多个不同的网络，它们之间能够相互通信，就需要一个网桥。网桥是二层的虚拟网络设备，它是把若干个网络接口“连接”起来，从而报文能够互相转发。

网桥能够解析收发的报文，读取目标 MAC 地址的信息，和自己记录的 MAC 表结合，来决定报文的转发目标网口。网桥设备 brO 绑定了 eth0、 eth1 。对于网络协议械的上层来说，只看得到 brO 。因为桥接是在数据链路层实现的，上层不需要关心桥接的细节，于是协议枝上层需要发送的报文被送到 brO ，网桥设备的处理代码判断报文该被转发到 ethO 还是 ethl ，或者两者皆转发。反过来，从 ethO 或从 ethl 接收到的报文被提交给网桥的处理代码，在这里会判断报文应该被转发、丢弃还是提交到协议枝上层。而有时 ethl 也可能会作为报文的源地址或目的地址直接参与报文的发送与接收，从而绕过网桥。

在这里插入图片描述

4.iptables

我们知道， Linux 络协议樵非常高效，同时比较复杂，如果我们希望在数据的处理过程中对关心的数据进行一些操作该怎么做呢？

Linux 提供了一套机制来为用户实现自定义的数据包处理过程。在 Linux 网络协议棋中有一组回调函数挂接点，通过这些挂接点挂接的钩子函数可以在 Linux 网络棋处理数据包的过程中对数据包进行一些操作，例如过滤、修改、丢弃等整个挂接点技术叫作 Netfilter lptables Netfilter 负责在内核中执行各种挂接的规则，运行在内核模式中：而 lptables 是在用户模式下运行的进程，负责协助维护内核中 Netfilter 的各种规则表通过者的配合来实现整个 Linux 网络协议战中灵活的数据包处理机制。

5.总结

设备	作用总结
network namespace	主要提供了关于网络资源的隔离，包括网络设备、IPv4 和 IPv6 协议栈、IP 路由表、防火墙、/proc/net 目录、/sys/class/net 目录、端口（socket）等
linux Bridge	功能相当于物理交换机，为连在其上的设备（容器）转发数据帧。如 docker0 网桥
iptables	主要为容器提供 NAT 以及容器网络安全
veth pair	两个虚拟网卡组成的数据通道。在 Docker 中，用于连接 Docker 容器和 Linux Bridge。一端在容器中作为 eth0 网卡，另一端在 Linux Bridge 中作为网桥的一个端口

二、四种网络模式（模型）

简介

HOST模式
- –-network=host
- 容器和宿主机共享 Network namespace
Container模式
- –network=container:ID
- 容器和另外一个容器共享 Network namespace。 kubernetes 中的 pod 就是多个容器共享一个 Network namespace
none模式
- –network=none
- 容器有独立的 Network namespace，但并没有对其进行任何网络设置，如分配 veth pair 和网桥连接，配置 IP 等
bridge模式
- –network=bridge
- 当 Docker 进程启动时，会在主机上创建一个名为 docker0 的虚拟网桥，此主机上启动的 Docker 容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。（默认为该模式）

Docker 使用 Linux 桥接的方式，在宿主机虚拟一个 Docker 容器网桥(docker0)，Docker 启动一个容器时会根据 Docker 网桥的网段分配给容器一个 IP 地址，称为 Container-IP，同时 Docker 网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的 Container-IP 直接通信。

Docker 网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接 Container-IP 访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即 docker run 创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机 IP]:[容器端口]访问容器。

1.HOST模式（主机）

如果启动容器的时候使用 host 模式，那么这个容器将不会获得一个独立的 Network Namespace，而是和宿主机共用一个 Network Namespace。
容器将不会虚拟出自己的网卡，配置自己的 IP 等，而是使用宿主机的 IP 和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。
使用 host 模式的容器可以直接使用宿主机的 IP 地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行 NAT，host 最大的优势就是网络性能比较好，但是 docker host 上已经使用的端口就不能再用了，网络的隔离性不好。

在这里插入图片描述

1）案例

# 运行容器，指定为host模式
[root@docker1 ~] docker run -d --name my-web --network host nginx

# 查看启动
[root@docker1 ~] docker ps
CONTAINER ID   IMAGE     COMMAND                  CREATED              STATUS              PORTS     NAMES
d7b23542ced3   nginx     "/docker-entrypoint.…"   About a minute ago   Up About a minute             my-web

# 容器与宿主机主机名一致，是因为得到了host解析的缘故，自己要区分好，内部内容不同
# 容器与宿主机ip a内容也是一样的
[root@docker1 ~] docker exec -it my-web bash
root@docker1:/ ls
bin   dev		   docker-entrypoint.sh  home  lib64  mnt  proc  run   srv  tmp  var
boot  docker-entrypoint.d  etc			 lib   media  opt  root  sbin  sys  usr

# 通过本机ip+端口可直接访问到容器内部
[root@docker1 ~] curl 127.0.0.1:80
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p>

<p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p>

<p><em>Thank you for using nginx.</em></p>
</body>
</html>

# 若再次启动一个nginx并指定为host模式，则会端口冲突
[root@docker1 ~] docker run -d --network host nginx
b20a0e1809369533db74dddd56f401abeba6db6a6d5264338128ff4960cfc691

# 启动后速度查看后台会显示启动
[root@docker1 ~] docker ps
CONTAINER ID   IMAGE     COMMAND                  CREATED          STATUS          PORTS     NAMES
b20a0e180936   nginx     "/docker-entrypoint.…"   2 seconds ago    Up 1 second               romantic_tereshkova
d7b23542ced3   nginx     "/docker-entrypoint.…"   13 minutes ago   Up 13 minutes             my-web

# 隔两秒就没有了，端口冲突起不来的缘故
[root@docker1 ~]# docker ps
CONTAINER ID   IMAGE     COMMAND                  CREATED          STATUS          PORTS     NAMES
d7b23542ced3   nginx     "/docker-entrypoint.…"   13 minutes ago   Up 13 minutes             my-web
[root@docker1 ~]# 

# 启动时感觉像成功，其实是在报错误日志，只不过没显示而已
[root@docker1 ~] docker logs romantic_tereshkova
nginx: [emerg] bind() to 0.0.0.0:80 failed (98: Address already in use)
2021/03/28 11:03:36 [emerg] 1#1: bind() to [::]:80 failed (98: Address already in use)
	···

2）HOST模式总结

容器使用宿主主机的网卡，不能跟宿主主机之间的端口冲突。
四种模式相比之下性能最高

2.Container模式（集装箱/容器）

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。
新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。
同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的，两个容器的进程可以通过 lo 网卡设备通信。

在这里插入图片描述

1）案例

# container后跟共享容器的名称
[root@docker1 ~] docker run -it --network=container:my-web nginx bash

# 访问nginx测试成功
root@docker1:/ curl 127.0.0.1 
<!DOCTYPE html>
	···
</body>
</html>

2）Container模式总结

一个容器使用另一个容器的网卡（网络共享）
K8s大量内使用

3.none模式（无网络）

使用 none 模式，Docker 容器拥有自己的 Network Namespace，但是，并不为 Docker 容器进行任何网络配置。也就是说，这个 Docker 容器没有网卡、IP、路由等信息，需要我们自己为 Docker 容器添加网卡、配置 IP 等。
这种网络模式下容器只有 lo 回环网络，没有其他网卡。none 模式可以在容器创建时通过–network=none 来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性
适用于保密文件等
很少用，无网络

在这里插入图片描述

4.bridge模式（桥接）

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上，虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。
从docker0子网中分配一个ip给容器使用，并设置docker0的ip地址为容器的默认网关，在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一段放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中，可以通过brctl show命令查看。
bridge 模式是docker的默认网络模式，无需写 --net 参数，使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能，可以使用iptables -t nat -vnL 查看。

在这里插入图片描述

运行容器默认不指定，即为bridge模式
若创建网桥如lnmp，运行容器时指定为lnmp，即为bridge模式

1.创建一个网桥（相当于自定义名称，默认模式bridge），其余三个模式无须创建，可直接指定
[root@docker1 ~] docker network create lnmp
3ea6587f3e8a5d8bdf27ed3040bbab3a58c9c1cc137651544102665c8c6d2031
[root@docker1 ~] docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
0044994efa26   bridge    bridge    local
042068702d17   host      host      local
c19a80a915df   none      null      local
3ea6587f3e87   lnmp      bridge    local

2.指定网络模式运行一个容器
[root@docker1 ~] docker run -d --name nginx --network bridge nginx
8374637e3d84e672da834807327a659cb9c68b5900069e2c1014271137bcf3ce

[root@docker1 ~] docker ps
CONTAINER ID   IMAGE     COMMAND                  CREATED              STATUS              PORTS     NAMES
8374637e3d84   nginx     "/docker-entrypoint.…"   About a minute ago   Up About a minute   80/tcp    nginx

# 查看：为bridge模式 
[root@docker1 ~]# docker inspect nginx
	···
    "Networks": {
    "bridge": {
    "IPAMConfig": null,
    "Links": null,
	···
	
3.不指定网络模式运行一个容器
[root@docker1 ~] docker run -d --name mysql mysql:5.7
b4cbedd83f1325cd778f0d29b9ee25fd1949a5276166d7980a94a31444132c3a

# 查看：依然默认是bridge模式
[root@docker1 ~] docker inspect mysql
	···
    "Networks": {
    "bridge": {
    "IPAMConfig": null,
	···

posted @ 2022-06-09 18:19 秋风お亦冷阅读(57) 评论(0) 编辑收藏举报

会员力量，点亮园子希望

刷新页面返回顶部

秋风お亦冷

Docker-day3-四种网络模式

文章目录

Docker 的四种网络模式

一、网络基础

1.网络名称空间介绍

2.创建一个命名空间

1）Veth设备

2）Veth设备操作

1> 创建Veth设备对

2> 绑定命名空间

3> 给test1内的Veth分配一个IP

4> 为对端Veth设备分配IP

5> 测试互ping

6> 补充概念

3.网桥介绍

4.iptables

5.总结

二、四种网络模式（模型）

简介

1.HOST模式（主机）

1）案例

2）HOST模式总结

2.Container模式（集装箱/容器）

1）案例

2）Container模式总结

3.none模式（无网络）

4.bridge模式（桥接）

公告