[Docker 系列]docker 学习八，Docker 网络

开始理解 docker

一开始，咱们思考一下，宿主机怎么和容器通信呢？

说容器之间是相互隔离的，那么他们是否可以通信？又是如何通信的呢？

开始探索

我们先来看看咱环境中的镜像都有些啥，有 xmtubuntu

# docker images
REPOSITORY            TAG       IMAGE ID       CREATED          SIZE
xmtubuntu             latest    c3e95388a66b   38 seconds ago   114MB

再来看看宿主机的网卡信息

ip addr来查看咱们宿主机的网卡信息

我们发现有一个docker0，是因为我们的宿主机上面安装了docker 的服务，docker 会给我生成一个虚拟网卡，图中的这个 docker0就是虚拟网卡信息

创建并启动一个docker 命名为 ubuntu1

docker run -it --name ubuntu1 -P xmtubuntu

查看一下宿主机网卡信息

查看宿主机的网卡信息

再查看 ubuntu1 的网卡信息，docker 也会默认给我们的容器分配ip 地址

可以发现宿主机的网卡信息 docker0 下面多了117: veth838e165@if116:，ubuntu1的网卡信息上也正好有116: eth0@if117

我们发现这些veth的编号是成对出现的，咱们的宿主机就可以和 ubuntu1进行通信了

使用宿主机（docker0）和ubuntu1互相 ping

docker0pingubuntu1 ok

ubuntu1pingdocker0，同样的 ok

咱们可以尝试再创建并启动一个docker 命名为 ubuntu2，方法和上述完全一致

# docker run -it -P --name ubuntu2 xmtubuntu

进入容器，使用ip a查看到ubuntu2的网卡信息

宿主机上面查看网信息

宿主机上面又多了一个 veth ， 119: veth0b29558@if118

ubuntu2上的网卡信息是118: eth0@if119，他们同样是成对出现的，小伙伴看到这里应该明白了吧

ubuntu1 ping ubuntu2 呢？

ubuntu1 对应 172.18.0.2

ubuntu2 对应 172.18.0.3

# docker exec -it ubuntu1 ping 172.18.0.3
PING 172.18.0.3 (172.18.0.3) 56(84) bytes of data.
64 bytes from 172.18.0.3: icmp_seq=1 ttl=64 time=0.071 ms
64 bytes from 172.18.0.3: icmp_seq=2 ttl=64 time=0.070 ms
64 bytes from 172.18.0.3: icmp_seq=3 ttl=64 time=0.077 ms

仍然是可以通信，非常 nice

原理是什么？

上述的探索，我们发现宿主机创建的容器，都可以直接ping通宿主机，那么他们的原理是啥呢？

细心的 xdm 应该可以看出来，上述的例子中，veth是成对出现的，上述宿主机和容器能够进行网络通信，得益于这个技术veth-pair

veth-pair

*veth-pair *是一对虚拟设备接口，他们都是成对出现的，一段连着协议，一段彼此相连

正是因为这个特性，veth-pair在此处就是充当了一个桥梁，连接各种虚拟设备

通过上图我们可以得出如下结论：

ubuntu1 和 ubuntu2他们是公用一个路由器，也就是 docker0，ubuntu1 能ping通ubuntu2是因为 docker0 帮助其转发的
所有的容器在不指定路由的情况下，都是以 docker0 作为路由，docker 也会给我们的容器分配一个可用的 ip
docker0 是在宿主机上面安装 docker 服务就会存在的

那么通过上图我们就知道，容器和宿主机之前是通过桥接的方式来打通网络的。

Dcoker 中所有的网络接口都是虚拟的，因为虚拟的转发效率高呀，当我们删除某一个容器的时候，这个容器对应的网卡信息，也会被随之删除掉

那么我们可以思考一下，如果都是通过找ip地址来通信，如果 ip变化了，那么我们岂不是找不到正确的容器了吗？我们是否可以通过服务名来访问容器呢？

–link

当然是可以的，当我们在创建和启动容器的时候加上–link就可以达到这个效果

我们再创建一个容器 ubuntu3，让他 link 到 ubuntu2

# docker run -it --name ubuntu3 -P --link ubuntu2 xmtubuntu

# docker exec -it ubuntu3 ping ubuntu2
PING ubuntu2 (172.18.0.3) 56(84) bytes of data.
64 bytes from ubuntu2 (172.18.0.3): icmp_seq=1 ttl=64 time=0.093 ms
64 bytes from ubuntu2 (172.18.0.3): icmp_seq=2 ttl=64 time=0.085 ms
64 bytes from ubuntu2 (172.18.0.3): icmp_seq=3 ttl=64 time=0.092 ms
64 bytes from ubuntu2 (172.18.0.3): icmp_seq=4 ttl=64 time=0.073 ms

很明显，我们可以到看到 ubuntu3可以通过服务名ubuntu2直接和ubuntu2通信，但是反过来是否可以呢？

# docker exec -it ubuntu2 ping ubuntu3
ping: ubuntu3: Name or service not known

不行？这是为什么呢？

我们来查看一下 ubuntu3的本地 /etc/hosts文件就清楚了

看到这里，这就清楚了 link 的原理了吧，就是在自己的 /etc/hosts文件中，加入一个host而已，这个知识点我们可以都知悉一下，但是这个 link 还是好搓，不好，他需要在创建和启动容器的时候使用，用起来不方便

那么我们有没有更好的办法的呢？

自定义网络

可以使用 docker network ls查看宿主机 docker 的网络情况

:~# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
8317183dfc58   bridge    bridge    local
997107487c6b   host      host      local
ab130876cbe6   none      null      local

网络模式

bridge

桥接，docker0 默认使用 bridge 这个名字

host

和宿主机共享网络

none

不配置网络

container

容器网络连通，这个模式用的非常少，因为局限性很大

现在咱们可以自定义个网络，来连通两个容器

自定义网络

自定义一个 mynet 网络

# docker network create --driver bridge --subnet 192.168.0.0/16 --gateway 192.168.0.1 mynet
9a597fc31f1964d434181907e21ff7010738f3f7dc35ba86bf7434f05a6afc4a

docker network create

创建一个网络

–driver

指定驱动是 bridge

–subnet

指定子网

–gateway

指定网关

此处我们设置子网是--subnet 192.168.0.0/16，网关是192.168.0.1，那么我们剩下可以使用的ip就是 192.168.0.2 – 192.168.255.254 ， 192.168.255.255是广播地址

清空已有的容器

清空所有测试的容器，减去干扰

创建并启动2个容器，分别是ubuntu1 和 ubuntu2

# docker run -it -P --name ubuntu1 --net mynet xmtubuntu
# docker run -it -P --name ubuntu2 --net mynet xmtubuntu

此时我们可以查看一下宿主机的网卡信息，并验证两个容器直接通过容器名字是否可以通信

我们思考一下自定义网络的好处

咱们自定义 docker 网络，已经帮我们维护好了对应关系，这样做的好处是容器之间可以做到网络隔离，

例如

一堆 redis 的容器，使用 192.168.0.0/16 网段，网关是 192.168.0.1

一堆 mongodb的容器，使用 192.167.0.0/16 网段，网关是 192.167.0.1

这样就可以做到子网很好的隔离开来，不同的集群使用不同的子网，互不影响

那么子网间是否可以打通呢？

网络连通

两个不同子网内的容器如何连通了呢？

我们绝对不可能让不同子网的容器不通过路由的转发而直接通信，这是不可能的，子网之间是相互隔离的

但是我们有办法让 ubuntu3 这个容器通过和 mynet 打通，进而转发到 ubuntu1 或者 ubuntu2 中就可以了

打通子网

我们查看 docker network 的帮助手册

docker network -h

可以使用 docker network connect命令实现，在查看一下帮助文档

# docker network connect -h
Flag shorthand -h has been deprecated, please use --help

Usage:  docker network connect [OPTIONS] NETWORK CONTAINER

Connect a container to a network