概述

今天将介绍Docker的一些高级网络配置和选项。

当Docker启动时，会自动在主机上创建一个docker0虚拟网桥，实际上是 Linux的一个bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进 行转发。

同时，Docker随机分配一个本地未占用的私有网段（在RFC1918中定义）中的一 个地址给docker0接口。比如典型的172.17.42.1，掩码为255.255.0.0。此后启动的容器内的网口也会自动分配一个同一网段（172.17.0.0/16）的地址。

当创建一个Docker容器的时候，同时会创建了一对vethpair接口（当数据包 发送到一个接口时，另外一个接口也可以收到相同的数据包）。这对接口一端在容 器内，即eth0；另一端在本地并被挂载到docker0网桥，名称以veth开 头（例如vethAQI2QT）。通过这种方式，主机可以跟容器通信，容器之间也可 以相互通信。Docker就创建了在主机和所有容器之间一个虚拟共享网络。

容器访问控制

容器的访问控制，主要通过Linux上的iptables防火墙来进行管理和实 现。iptables 是Linux上默认的防火墙软件，在大部分发行版中都自带。

篇幅有限，iptables内容这里就不多说啦~

容器访问外部网络

容器要想访问外部网络，需要本地系统的转发支持。在Linux系统中，检查转发是 否打开。

$sysctl	net.ipv4.ip_forward 
net.ipv4.ip_forward	=	1

如果为0，说明没有开启转发，则需要手动打开。

$sysctl	-w net.ipv4.ip_forward=1

容器之间访问

容器之间相互访问，需要两方面的支持。

容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到docker0网桥上。

本地系统的防火墙软件--iptables是否允许通过。

映射容器端口到宿主主机的实现

默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器。

容器访问外部实现

容器所有到外部网络的连接，源地址都会被NAT成本地系统的IP地址。这是使用iptables 的源地址伪装操作实现的。

查看主机的NAT规则。

其中，上述规则将所有源地址在172.17.0.0/16网段，目标地址为其他网段 （外部网络）的流量动态伪装为从系统网卡发出。MASQUERADE跟传统SNAT 的好处是它能动态从网卡获取地址。

外部访问容器实现

容器允许外部访问，可以在dockerrun时候通过-p或-P参数来启用。

不管用那种办法，其实也是在本地的iptable的nat表中添加相应的规则。

使用-P时：

使用-p80:80时：

注意：

这里的规则映射了 0.0.0.0，意味着将接受主机来自所有接口的流量。用户 可以通过 -pIP:host_port:container_port 或 -pIP::port 来指定允 许访问容器的主机上的IP、接口等，以制定更严格的规则。

如果希望永久绑定到某个固定的IP地址，可以在Docker配置文件/etc/docker/daemon.json中添加如下内容：

{		
"ip":	"0.0.0.0"
 }

配置docker0网桥

Docker服务默认会创建一个docker0网桥（其上有一个docker0内部接 口），它在内核层连通了其他的物理或虚拟网卡，这就将所有容器和本地主机都放 到同一个物理网络。

Docker默认指定了docker0接口的IP地址和子网掩码，让主机和容器之间可 以通过网桥相互通信，它还给出了MTU（接口允许接收的最大传输单元），通常 是1500Bytes，或宿主主机网络路由上支持的默认值。这些值都可以在服务启动的 时候进行配置。

也可以在配置文件中配置DOCKER_OPTS，然后重启服务。

由于目前Docker网桥是Linux网桥，用户可以使用 brctlshow 来查看网桥和 端口连接信息。

$	sudo	brctl	show 
bridge	name		bridge	id					STP	enabled			interfaces 
docker0		8000.3a1d7362b4ee			no	veth65f9		vethdda6																															

每次创建一个新容器的时候，Docker从可用的地址段中选择一个空闲的IP地址分 配给容器的eth0端口。使用本地主机上docker0接口的IP作为所有容器的默认 网关。

自定义网桥

除了默认的docker0网桥，用户也可以指定网桥来连接各个容器。

在启动Docker服务的时候，使用-bBRIDGE或--bridge=BRIDGE来指定使用 的网桥。

如果服务已经运行，那需要先停止服务，并删除旧的网桥。

$	sudo	systemctl	stop	docker 
$	sudo	ip	link	set	dev	docker0	down 
$	sudo	brctl	delbr	docker0

然后创建一个网桥 bridge0。

$	sudo	brctl	addbr	bridge0 
$	sudo	ip	addr	add	192.168.5.1/24	dev	bridge0 
$	sudo	ip	link	set	dev	bridge0	up

查看确认网桥创建并启动。

在Docker配置文件 /etc/docker/daemon.json 中添加如下内容，即可将 Docker默认桥接到创建的网桥上。

{		
"bridge":	"bridge0", 
}

启动Docker服务。

新建一个容器，可以看到它已经桥接到了 bridge0 上。

可以继续用brctlshow命令查看桥接的信息。另外，在容器中可以使用ip addr和iproute 命令来查看IP地址配置和路由信息。

docker网络还是比较复杂的（对于我这种网络空白的来说），篇幅有限，关于docker网络配置就介绍到这里了，感兴趣的朋友可以测试下~

后面会分享更多关于devops和DBA内容，感兴趣的朋友可以关注下~