Docker的四种网络模式

（1）docker四种网络模式如下：

• Bridge contauner 桥接式网络模式
• Host(open) container 开放式网络模式
• Container(join) container 联合挂载式网络模式，是host网络模式的延伸
• None(Close) container 封闭式网络模式

（2）可以通过docker network命令查看

[root@node1 ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
7751a2593ac3   bridge    bridge    local
4b31d38031fc   host      host      local
8c8ad7440963   none      null      local
1
2
3
4
5

（3）docker run --network 命令可以指定使用网络模式

1、Bridge 网络模式（类似于VMware的NAT模式）

Bridge 网络模式介绍

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上，所以有默认地址172.17.0.0/16的地址。虚拟网桥的工作方式和物理交换机
类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。
　　从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上
创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0
（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到
docker0网桥中。可以通过brctl show命令查看。

安装该桥接的显示工具

[root@node1 ~]# yum install  bridge-utils -y
[root@node1 ~]# brctl show
bridge name	bridge id		STP enabled	interfaces
docker0		8000.02429430c148	no		vethd750a80
1
2
3
4

Docker在运行一个容器后，会自动生成一个eth网卡
例如：在运行容器后ip a 查看 生成了一块新的网卡

[root@node1 ~]# docker run  -d --name web1 -p 81:80 nginx:1.14-alpine
f6f0640f003c320d4772b37242acef8bbd88af6e34ca1d4e521ea3bccfb02030
[root@node1 ~]# docker ps
CONTAINER ID   IMAGE               COMMAND                  CREATED          STATUS         PORTS                               NAMES
f6f0640f003c   nginx:1.14-alpine   "nginx -g 'daemon of…"   11 seconds ago   Up 7 seconds   0.0.0.0:81->80/tcp, :::81->80/tcp   web1

[root@node1 ~]# docker exec -it web1 /bin/bash
OCI runtime exec failed: exec failed: unable to start container process: exec: "/bin/bash": stat /bin/bash: no such file or directory: unknown
[root@node1 ~]# docker exec -it web1 /bin/sh
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
18: eth0@if19: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue state UP 
    link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
/ # 

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

bridge模式是docker的默认网络模式，不写–net参数，就是bridge模式。使用docker run -p时，
docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。

[root@node1 ~]# iptables -t nat -vnL 
Chain PREROUTING (policy ACCEPT 23 packets, 2385 bytes)
 pkts bytes target     prot opt in     out     source               destination         
   11   572 DOCKER     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT 21 packets, 2242 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 4 packets, 1312 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    1    60 DOCKER     all  --  *      *       0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

Chain POSTROUTING (policy ACCEPT 4 packets, 1312 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    2   143 MASQUERADE  all  --  *      !docker0  172.17.0.0/16        0.0.0.0/0           
    0     0 MASQUERADE  tcp  --  *      *       172.17.0.2           172.17.0.2           tcp dpt:80

Chain DOCKER (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0           
    0     0 DNAT       tcp  --  !docker0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:81 to:172.17.0.2:80
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

bridge模式示意图

docker的桥接模式类似于VMware的NAT模式，连接到docker的网卡上

2、Host 网络模式

Host 网络模式介绍

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，
而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是
使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

Host模式示意图

演示
Host模式下需要指定 --network host
直接使用宿主机的网络 host；共享宿主机的网络

[root@node1 ~]# docker run -it --rm --network host busybox:latest 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast qlen 1000
    link/ether 00:0c:29:32:a4:51 brd ff:ff:ff:ff:ff:ff
    inet 192.168.142.149/24 brd 192.168.142.255 scope global dynamic ens33
       valid_lft 1347sec preferred_lft 1347sec
3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue 
    link/ether 02:42:94:30:c1:48 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
    inet6 fe80::42:94ff:fe30:c148/64 scope link 
       valid_lft forever preferred_lft forever
19: veth2119348@if18: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue master docker0 
    link/ether 6a:a3:9b:d1:e3:ef brd ff:ff:ff:ff:ff:ff
    inet6 fe80::68a3:9bff:fed1:e3ef/64 scope link 
       valid_lft forever preferred_lft forever
/ # ping www.baidu.com
PING www.baidu.com (14.215.177.39): 56 data bytes
64 bytes from 14.215.177.39: seq=0 ttl=128 time=63.741 ms
64 bytes from 14.215.177.39: seq=1 ttl=128 time=13.826 ms
^C
--- www.baidu.com ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 13.826/38.783/63.741 ms
/ # 
=
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

3、Container 网络模式

Container 网络模式介绍

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿
主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范
围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可
以通过 lo 网卡设备通信。

Container模式示意图

演示
共享同一个网络。因此http服务启动在一个容器中，另一个容器也会一样启动
（1）在一个终端，使用bridge网络模式启动容器b1

[root@node1 ~]# docker run -it --rm --name z1  busybox:latest 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
20: eth0@if21: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
/ # echo "hello world" > /tmp/index.html
/ # httpd -h /tmp/
/ # netstat -lnupt | grep 80
tcp        0      0 :::80                   :::*                    LISTEN      9/httpd
/ # wget -O - -q 127.0.0.1
hello world
/ # 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

（2）在另一个终端使用Container 网络模式创建容器b2

[root@node1 ~]# docker run -it --rm --name z2 --network container:z1  busybox:latest 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
20: eth0@if21: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
/ # wget -O - -q 127.0.0.1
hello world
/ # 
1
2
3
4
5
6
7
8
9
10
11
12
13

4、None 网络模式（类似VMWare中的仅主机模式）

None 网络模式介绍

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任
何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息，只有lo 网络接口。需要我们自己
为Docker容器添加网卡、配置IP等。
　　不参与网络通信，运行于此类容器中的进程仅能访问本地回环接口；仅适用于进程无须网络通信的
场景中，例如：备份、进程诊断及各种离线任务等。

None模式示意图

演示

[root@node1 ~]# docker run -it --rm --network none busybox:latest 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
/ # route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
/ # 
1
2
3
4
5
6
7
8
9
10