Docker 动态添加端口映射？

docker 创建容器的时候，我们如果使用docker的桥接网络（bridge）那么一般需要暴露容器内一些端口到宿主机上，也就是容器与宿主机间的端口映射。最近很多的人问我，Docker 可以动态添加端口映射吗？这里统一回复下，正常思路下，docker是不支持动态添加端口映射的，因为我的容器是即用即创建，用完即销毁的，如果说你需要在一个运行的容器中添加新的端口映射，为啥不重建一个容器呢？我个人决定，这里是出现了两个问题，一个是设计初期没有考虑到端口映射导致实际运行之后需要添加新的端口映射，另一个是对容器的运行机制还是不是很清楚，容器的生命周期是短暂的不应该让一个容器成为一台7*24小时的虚拟机。

怎么解决？

刚刚我才说，docker是不可以动态添加端口映射，那还考虑什么解决方案呢？东西是死的，人是活的，docker不能动态添加，我们委婉点实现端口映射达到的效果不就行了。

目标明确，就是实现端口映射的效果。我准备从两个方向入手，一个docker的端口转发机制，另一个是docker的网络模式。

解决方案 - 端口转发

默认情况下我们docker容器是使用的桥接网络（bridge），说起桥接我们应该很熟悉，它就是安装完docker之后就存在了。是docker 自带的三种常用网络模式之一，通过创建网桥和iptable规则将172.17.0.0/16网络与172.16.0.0/16网络连接，所谓的端口映射就是端口转发的意思，其他主机访问当前主机的容器网络时，访问当前主机的特定端口可以被转发到容器网络的特定端口，从而实现网络互通。原理都知道了，我们就设置iptable规则就行了。

# 获取你想要添加端口映射的容器的172.17.0.0/16网段的ip即container_ip
docker exec <container_name> ipaddr
# 添加转发规则,host_port宿主机端口，container_port容器端口
iptables -t nat -A DOCKER -p tcp --dport $host_port -j DNAT --to-destination $container_ip:$container_port 

解决方案就时这么简单，你可以尝试一下，不过真心建议还是重建容器，这样虽然能解一时的问题，但是并不能治本。

解决方案 - 更换网络模式

端口映射是桥接网络才需要的，那host网络和macvlan网络是完全不需要的。

host网络顾名思义就是主机网络，也就是说你的容器和你的主机使用一套网络栈，容器内的网卡其实就是主机网卡，不过我想是没有人会愿意使用host网络来解决动态添加端口映射问题。不过这也是一个方法，使用host网络很简单，在创建容器的时候指定 --network=host

docker run -itd --privileged --name host_container --network=host centos

macvlan网络，这个是我最喜欢使用的docker网络之一。macvlan是docker自己开发的跨主机容器网络，macvlan强大之处在于性能极好，因为它不走桥接网络还是直接通过以太 interface 连接到物理网络，听不太懂，没关系我解释给你听。macvlan 是通过linux 内核模块允许一个物理网卡可以配置多个mac地址 ，这些mac上也配置了ip，所以使用了macvlan网络模式的容器，可以自己走自己的ip网卡出去，实际上还是一个物理网卡上出去的。唯一的不足之处是你在当前容器中不能ping或者联通当前容器所在主机的IP地址，这是因为通信由于安全性和隔离性被内核模块拦截了。

所以说你容器使用了macvlan网络，你还会担心动态添加端口映射的问题吗？根本不存在！好吧我们来实现一些macvlan网络。

# 打开网卡的混杂模式，只有在混杂模式下你才能让一个网卡配置多个mac
ip link set <网卡名> promisc on
# 创建macvlan网络 
docker network create -d macvlan --subnet=<子网 eg: 172.16.0.0/16> --gateway=<网关 eg: 172.16.1.1> -o parent=<网卡名 eg: eth0 > macvlan_net_external
# 创建使用macvlan网络的容器
docker run -itd --privileged --name macvlan_container --ip 172.16.1.111 --network macvlan_net_external centos /bin/bash

总结

两个解决方案，端口转发是属于事后解决方案，更换容器网络属于事前解决方案。如果大家真的在生产环境中遇到了服务不能暂停，容器不能重建但是仍需要添加端口映射的情况，可以参考一下。至于你用了编排工具创建了服务，容器有很多的话，我个人建议你可以尝试服务逐步更新策略，例如redis服务，service通过；--update-parallelism 设置并行更新的副本数目，通过 --update-delay 指定滚动更新的间隔时间 ，实现更新策略。这样也可以实现动态添加端口映射的效果。