centos7下安装docker(15.6docker跨主机网络---Weave)
Weave是weaveworks开发的容器网络解决方案。weave创建的虚拟网络可以将部署在多个主机上的容器连接起来。对于容器来说,weave就像一个巨大的网络交换机,容器可以直接通信,无需NAT和端口映射。除此之外,weave的DNS模块是容器可以通过hostname访问
weave不依赖分布式数据库(例如:consul和etcd)交换网络信息,每个主机上只需要运行weave组件就能建立起跨主机容器网络,weave网络能够穿透防火墙并运行在部分连接的网络上,weave支持加密网络接连,用户可以从一个不受信任的网络连接到主机
weave官网地址: https://github.com/weaveworks/weave
开始部署weave:
1.linux内核版本为3.8以上,dockers版本为1.10.0 or later
2.curl -L git.io/weave -o /usr/local/bin/weave
3.更改权限chmod a+x /usr/local/bin/weave
4。初始化weave:weave launch
注:初始化weave前要保证有 bridge-utils
网桥工具包
初始化weave三个docker容器来辅助运行,会自动下载镜像
weave:是主程序,负责建立weave网络,收发数据,提供DNS等服务
自动创建网桥
自动创建一个docker网络
driver是weave,subnet是10.32.0.0/12
分析weave的网络结构:
1. eval $(weave env) 设置环境变量,这样通过docker命令行启动的容器就会自动地连接到weave网络中了
可执行 eval $(weave env --restore)恢复之前的环境
2.docker run --name weave1 -itd busybox 注:-itd连用可使普通镜像运行容器后,容器会保持运行状态
3.查看weave1容器中得网络
weave1容器有两个网络接口:eth0@if18,从他的IP可以看出是与host上得docker0同属一个网段,所以还是默认连接在docker0上得
还有一个ethwe@if20,从名称可以看出ethew与weave相关,他的对应编号是20,我们从host上面通过ip link进行查看
vethwep120768@if19是与ethwe是一对veth pair,而且被挂在了weave上
我们通过ip -d link深入分析一下现在host上得网络
这里出现了很多新得interface
datapath:是一个openvswitch
vethwe-datapath@vethwe-bridge:是veth pair
vethwe-datapath:父设备是datapath
vxlan-6784:是vxlan interface,其maste也是datapath,weave主机之间通过Vxlan节能型通信
host1得网络结构如下:盗图
weave网络包含两个虚拟交换机:桥接的weave和openvswitch datapath,veth pair :vethwe-bridge将两者连接在一起。
weave与datapath分工不同,weave负责将容器接入weave网络,datapath负责在主机间建立vxlan隧道并收发数据
我们再运行一个容器
查看weave1的hostname1
weave DNS为容器创建了默认域weave1.weave.local
可以ping通
Weave的连通性和隔离性
1.之前我们是在docker1上进行的操作,现在我们在docker2上进行同样的部署weave
2.启动weave
这里必须指定IP 192.168.7.235这样docker1和docker2才能加到同一个网络
设置环境变量,在docker2上运行容器
eval $(weave env)
docker run -itd --name weave11 busybox
docker2上面的weave11能够ping通docker1上的weave1
docker1上面的weave1的IP是10.32.0.1/12
docker2上的weave11的IP 是10.44.0.0/12
掩码是12位的,实际上这个两个IP 是在同一个subnet10.32.0.0/12.通过docker1和docker2之间的vxlan隧道,2个容器逻辑上在一个LAN中,肯定是能ping通的
盗图
1.数据包的目的地址是10.32.0.1/12,docker2根据路由表,从ethwe发送出去
2.docker2查询到目的主机,将数据通过vxlan发送给docker1
3.docker1收到数据,根据目的IP将数据转发给weave1
weave的网络隔离
默认配置下,weave使用一个大subnet(例如10.32.0.0/12),所有主机的容器都从这个地址空间中分配IP ,因为同属一个subnet,容器可以直接通信。如果要实现网络隔离,可以通过换环境变量WEAVE_CIDR为容器分配不同的subnet的IP
注:如果通过-e WEAVE_CIDR ,进入容器后没有使用新的网段,那么重新设置一下变量 eval $(weave env)
容器分配到的IP 是10.32.2.128/24,无法ping通10.32.0.1
weave如何与外部进行通信
weave是一个私有的xvlan网络,默认与外部网络隔离。外部如何才能访问到weave中的容器呢?
方法是:
1.首先将主机加入到weave网络
2.然后把主机当作访问weave网络的网关。
要将主机加入到weave,执行weave expose
这个ip10.32.0.6会被配置到host上的weave的网桥上
现在docker1的网络是,如盗图:
weave网桥位于root namespace,它负责将容器接入weave网络。给weave配置同一subnet的IP其本质就是将docker1接入weave网络。docker1现在已经可以直接与同一weave网络接入容器通信了,无论容器是否在docker1上
在docker1上ping同一个host上的容器
pingdocker2上的容器
下面我们看一下,如果host主机没有加入到weave网络,是否能ping通自己主机上的容器?
进入docker2上
没有加入到weave网络的主机 也无法ping通自己主机上的容器。如果是部署了weave服务可以直接通过weave expose加入到weave网络,如果没有部署weave网络的主机如何与容器进行通信呢?
方法是:将非weave主机的网关指向docker1
如:像docker主机添加路由
测试后可以ping通
使用weave网络,容器是如何方位外网的呢?
我们可以观察到在weave环境下,我们运行的容器出本地网卡外都有两个网卡,eth0和weave,我们知道这个eth0是连接docker0用的,所以容器访问外网就是通过docker0实现的
IPAM:
我们在每个主机上通过weave launch使weave获得subnet后,发现都是10.32.0.0/12网段的,我们也可以自定义subnet,可以通过--ipalloc-range分配特定的subnet
weave launch --ipalloc-range 10.2.0.0/16
但是一定要确保每个主机都使用相同的subnet