袖珍指南

Docker作為目前最火的輕量級容器技術(shù)，牛逼的功能，如Docker的鏡像管理，不足的地方網(wǎng)絡(luò)方面。

Docker自身的4種網(wǎng)絡(luò)工作方式，和一些自定義網(wǎng)絡(luò)模式

安裝Docker時(shí)，它會自動創(chuàng)建三個網(wǎng)絡(luò)，bridge(創(chuàng)建容器默認(rèn)連接到此網(wǎng)絡(luò))、 none 、host

host：容器將不會虛擬出自己的網(wǎng)卡，配置自己的IP等，而是使用宿主機(jī)的IP和端口。

Container：創(chuàng)建的容器不會創(chuàng)建自己的網(wǎng)卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍。

None：該模式關(guān)閉了容器的網(wǎng)絡(luò)功能。

Bridge：此模式會為每一個容器分配、設(shè)置IP等，并將容器連接到一個docker0虛擬網(wǎng)橋，通過docker0網(wǎng)橋以及Iptables nat表配置與宿主機(jī)通信。

以上都是不用動手的，真正需要配置的是自定義網(wǎng)絡(luò)。

一、前言

當(dāng)你開始大規(guī)模使用Docker時(shí)，你會發(fā)現(xiàn)需要了解很多關(guān)于網(wǎng)絡(luò)的知識。Docker作為目前最火的輕量級容器技術(shù)，有很多令人稱道的功能，如Docker的鏡像管理。然而，Docker同樣有著很多不完善的地方，網(wǎng)絡(luò)方面就是Docker比較薄弱的部分。因此，我們有必要深入了解Docker的網(wǎng)絡(luò)知識，以滿足更高的網(wǎng)絡(luò)需求。本文首先介紹了Docker自身的4種網(wǎng)絡(luò)工作方式，然后介紹一些自定義網(wǎng)絡(luò)模式。

二、默認(rèn)網(wǎng)絡(luò)

當(dāng)你安裝Docker時(shí)，它會自動創(chuàng)建三個網(wǎng)絡(luò)。你可以使用以下docker network ls命令列出這些網(wǎng)絡(luò)：

$ docker network ls

NETWORK ID NAME DRIVER

7fca4eb8c647 bridge bridge

9f904ee27bf5 none null

cf03ee007fb4 host host

Docker內(nèi)置這三個網(wǎng)絡(luò)，運(yùn)行容器時(shí)，你可以使用該--network標(biāo)志來指定容器應(yīng)連接到哪些網(wǎng)絡(luò)。

該bridge網(wǎng)絡(luò)代表docker0所有Docker安裝中存在的網(wǎng)絡(luò)。除非你使用該docker run --network=選項(xiàng)指定，否則Docker守護(hù)程序默認(rèn)將容器連接到此網(wǎng)絡(luò)。

我們在使用docker run創(chuàng)建Docker容器時(shí)，可以用 --net 選項(xiàng)指定容器的網(wǎng)絡(luò)模式，Docker可以有以下4種網(wǎng)絡(luò)模式：

host模式：使用 --net=host 指定。

none模式：使用 --net=none 指定。

bridge模式：使用 --net=bridge 指定，默認(rèn)設(shè)置。

container模式：使用 --net=container:NAME_or_ID 指定。

下面分別介紹一下Docker的各個網(wǎng)絡(luò)模式。

2.1 Host

相當(dāng)于Vmware中的橋接模式，與宿主機(jī)在同一個網(wǎng)絡(luò)中，但沒有獨(dú)立IP地址。眾所周知，Docker使用了Linux的Namespaces技術(shù)來進(jìn)行資源隔離，如PID Namespace隔離進(jìn)程，Mount Namespace隔離文件系統(tǒng)，Network Namespace隔離網(wǎng)絡(luò)等。一個Network Namespace提供了一份獨(dú)立的網(wǎng)絡(luò)環(huán)境，包括網(wǎng)卡、路由、Iptable規(guī)則等都與其他的Network Namespace隔離。一個Docker容器一般會分配一個獨(dú)立的Network Namespace。但如果啟動容器的時(shí)候使用host模式，那么這個容器將不會獲得一個獨(dú)立的Network Namespace，而是和宿主機(jī)共用一個Network Namespace。容器將不會虛擬出自己的網(wǎng)卡，配置自己的IP等，而是使用宿主機(jī)的IP和端口。

例如，我們在10.10.0.186/24的機(jī)器上用host模式啟動一個含有nginx應(yīng)用的Docker容器，監(jiān)聽tcp80端口。

# 運(yùn)行容器;

$ docker run --name=nginx_host --net=host -p 80:80 -d nginx

74c911272942841875f4faf2aca02e3814035c900840d11e3f141fbaa884ae5c

# 查看容器;

$ docker ps

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

74c911272942 nginx "nginx -g 'daemon ..." 25 seconds ago Up 25 seconds nginx_host

當(dāng)我們在容器中執(zhí)行任何類似ifconfig命令查看網(wǎng)絡(luò)環(huán)境時(shí)，看到的都是宿主機(jī)上的信息。而外界訪問容器中的應(yīng)用，則直接使用10.10.0.186:80即可，不用任何NAT轉(zhuǎn)換，就如直接跑在宿主機(jī)中一樣。但是，容器的其他方面，如文件系統(tǒng)、進(jìn)程列表等還是和宿主機(jī)隔離的。

$ netstat -nplt | grep nginx

tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 27340/nginx: master

2.2 Container

在理解了host模式后，這個模式也就好理解了。這個模式指定新創(chuàng)建的容器和已經(jīng)存在的一個容器共享一個Network Namespace，而不是和宿主機(jī)共享。新創(chuàng)建的容器不會創(chuàng)建自己的網(wǎng)卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍等。同樣，兩個容器除了網(wǎng)絡(luò)方面，其他的如文件系統(tǒng)、進(jìn)程列表等還是隔離的。兩個容器的進(jìn)程可以通過lo網(wǎng)卡設(shè)備通信。

2.3 None

該模式將容器放置在它自己的網(wǎng)絡(luò)棧中，但是并不進(jìn)行任何配置。實(shí)際上，該模式關(guān)閉了容器的網(wǎng)絡(luò)功能，在以下兩種情況下是有用的：容器并不需要網(wǎng)絡(luò)(例如只需要寫磁盤卷的批處理任務(wù))。

overlay

在docker1.7代碼進(jìn)行了重構(gòu)，單獨(dú)把網(wǎng)絡(luò)部分獨(dú)立出來編寫，所以在docker1.8新加入的一個overlay網(wǎng)絡(luò)模式。Docker對于網(wǎng)絡(luò)訪問的控制也是在逐漸完善的。

2.4 Bridge

相當(dāng)于Vmware中的Nat模式，容器使用獨(dú)立network Namespace，并連接到docker0虛擬網(wǎng)卡(默認(rèn)模式)。通過docker0網(wǎng)橋以及Iptables nat表配置與宿主機(jī)通信；bridge模式是Docker默認(rèn)的網(wǎng)絡(luò)設(shè)置，此模式會為每一個容器分配Network Namespace、設(shè)置IP等，并將一個主機(jī)上的Docker容器連接到一個虛擬網(wǎng)橋上。下面著重介紹一下此模式。

三、Bridge模式

3.1 Bridge模式的拓?fù)?/p>

當(dāng)Docker server啟動時(shí)，會在主機(jī)上創(chuàng)建一個名為docker0的虛擬網(wǎng)橋，此主機(jī)上啟動的Docker容器會連接到這個虛擬網(wǎng)橋上。虛擬網(wǎng)橋的工作方式和物理交換機(jī)類似，這樣主機(jī)上的所有容器就通過交換機(jī)連在了一個二層網(wǎng)絡(luò)中。接下來就要為容器分配IP了，Docker會從RFC1918所定義的私有IP網(wǎng)段中，選擇一個和宿主機(jī)不同的IP地址和子網(wǎng)分配給docker0，連接到docker0的容器就從這個子網(wǎng)中選擇一個未占用的IP使用。如一般Docker會使用172.17.0.0/16這個網(wǎng)段，并將172.17.0.1/16分配給docker0網(wǎng)橋(在主機(jī)上使用ifconfig命令是可以看到docker0的，可以認(rèn)為它是網(wǎng)橋的管理接口，在宿主機(jī)上作為一塊虛擬網(wǎng)卡使用)。單機(jī)環(huán)境下的網(wǎng)絡(luò)拓?fù)淙缦?#xff0c;主機(jī)地址為10.10.0.186/24。

3.2 Docker：網(wǎng)絡(luò)模式詳解

Docker完成以上網(wǎng)絡(luò)配置的過程大致是這樣的：

1. 在主機(jī)上創(chuàng)建一對虛擬網(wǎng)卡veth pair設(shè)備。veth設(shè)備總是成對出現(xiàn)的，它們組成了一個數(shù)據(jù)的通道，數(shù)據(jù)從一個設(shè)備進(jìn)入，就會從另一個設(shè)備出來。因此，veth設(shè)備常用來連接兩個網(wǎng)絡(luò)設(shè)備。

2. Docker將veth pair設(shè)備的一端放在新創(chuàng)建的容器中，并命名為eth0。另一端放在主機(jī)中，以veth65f9這樣類似的名字命名，并將這個網(wǎng)絡(luò)設(shè)備加入到docker0網(wǎng)橋中，可以通過brctl show命令查看。

$ brctl show

bridge name bridge id STP enabled interfaces

docker0 8000.02425f21c208 no

3. 從docker0子網(wǎng)中分配一個IP給容器使用，并設(shè)置docker0的IP地址為容器的默認(rèn)網(wǎng)關(guān)。

# 運(yùn)行容器;

$ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx

9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a

# 查看容器;

$ docker ps

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

9582dbec7981 nginx "nginx -g 'daemon ..." 3 seconds ago Up 2 seconds 0.0.0.0:80->80/tcp nginx_bridge

# 查看容器網(wǎng)絡(luò);

$ docker inspect 9582dbec7981

"Networks": {

"bridge": {

"IPAMConfig": null,

"Links": null,

"Aliases": null,

"NetworkID": "9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059",

"EndpointID": "81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b",

"Gateway": "172.17.0.1",

"IPAddress": "172.17.0.2",

"IPPrefixLen": 16,

"IPv6Gateway": "",

"GlobalIPv6Address": "",

"GlobalIPv6PrefixLen": 0,

"MacAddress": "02:42:ac:11:00:02"

}

}

$ docker network inspect bridge

[

{

"Name": "bridge",

"Id": "9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059",

"Created": "2017-08-09T23:20:28.061678042-04:00",

"Scope": "local",

"Driver": "bridge",

"EnableIPv6": false,

"IPAM": {

"Driver": "default",

"Options": null,

"Config": [

{

"Subnet": "172.17.0.0/16"

}

]

},

"Internal": false,

"Attachable": false,

"Ingress": false,

"Containers": {

"9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a": {

"Name": "nginx_bridge",

"EndpointID": "81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b",

"MacAddress": "02:42:ac:11:00:02",

"IPv4Address": "172.17.0.2/16",

"IPv6Address": ""

}

},

"Options": {

"com.docker.network.bridge.default_bridge": "true",

"com.docker.network.bridge.enable_icc": "true",

"com.docker.network.bridge.enable_ip_masquerade": "true",

"com.docker.network.bridge.host_binding_ipv4": "0.0.0.0",

"com.docker.network.bridge.name": "docker0",

"com.docker.network.driver.mtu": "1500"

},

"Labels": {}

}

]

網(wǎng)絡(luò)拓?fù)浣榻B完后，接著介紹一下bridge模式下容器是如何通信的。

3.3 bridge模式下容器的通信

在bridge模式下，連在同一網(wǎng)橋上的容器可以相互通信(若出于安全考慮，也可以禁止它們之間通信，方法是在DOCKER_OPTS變量中設(shè)置–icc=false，這樣只有使用–link才能使兩個容器通信)。

Docker可以開啟容器間通信(意味著默認(rèn)配置--icc=true)，也就是說，宿主機(jī)上的所有容器可以不受任何限制地相互通信，這可能導(dǎo)致拒絕服務(wù)攻擊。進(jìn)一步地，Docker可以通過--ip_forward和--iptables兩個選項(xiàng)控制容器間、容器和外部世界的通信。

容器也可以與外部通信，我們看一下主機(jī)上的Iptable規(guī)則，可以看到這么一條

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

這條規(guī)則會將源地址為172.17.0.0/16的包(也就是從Docker容器產(chǎn)生的包)，并且不是從docker0網(wǎng)卡發(fā)出的，進(jìn)行源地址轉(zhuǎn)換，轉(zhuǎn)換成主機(jī)網(wǎng)卡的地址。這么說可能不太好理解，舉一個例子說明一下。假設(shè)主機(jī)有一塊網(wǎng)卡為eth0，IP地址為10.10.101.105/24，網(wǎng)關(guān)為10.10.101.254。從主機(jī)上一個IP為172.17.0.1/16的容器中ping百度(180.76.3.151)。IP包首先從容器發(fā)往自己的默認(rèn)網(wǎng)關(guān)docker0，包到達(dá)docker0后，也就到達(dá)了主機(jī)上。然后會查詢主機(jī)的路由表，發(fā)現(xiàn)包應(yīng)該從主機(jī)的eth0發(fā)往主機(jī)的網(wǎng)關(guān)10.10.105.254/24。接著包會轉(zhuǎn)發(fā)給eth0，并從eth0發(fā)出去(主機(jī)的ip_forward轉(zhuǎn)發(fā)應(yīng)該已經(jīng)打開)。這時(shí)候，上面的Iptable規(guī)則就會起作用，對包做SNAT轉(zhuǎn)換，將源地址換為eth0的地址。這樣，在外界看來，這個包就是從10.10.101.105上發(fā)出來的，Docker容器對外是不可見的。

那么，外面的機(jī)器是如何訪問Docker容器的服務(wù)呢？我們首先用下面命令創(chuàng)建一個含有web應(yīng)用的容器，將容器的80端口映射到主機(jī)的80端口。

$ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx

然后查看Iptable規(guī)則的變化，發(fā)現(xiàn)多了這樣一條規(guī)則：

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80

此條規(guī)則就是對主機(jī)eth0收到的目的端口為80的tcp流量進(jìn)行DNAT轉(zhuǎn)換，將流量發(fā)往172.17.0.2:80，也就是我們上面創(chuàng)建的Docker容器。所以，外界只需訪問10.10.101.105:80就可以訪問到容器中的服務(wù)。

除此之外，我們還可以自定義Docker使用的IP地址、DNS等信息，甚至使用自己定義的網(wǎng)橋，但是其工作方式還是一樣的。

四、自定義網(wǎng)絡(luò)

建議使用自定義的網(wǎng)橋來控制哪些容器可以相互通信，還可以自動DNS解析容器名稱到IP地址。Docker提供了創(chuàng)建這些網(wǎng)絡(luò)的默認(rèn)網(wǎng)絡(luò)驅(qū)動程序，你可以創(chuàng)建一個新的Bridge網(wǎng)絡(luò)，Overlay或Macvlan網(wǎng)絡(luò)。你還可以創(chuàng)建一個網(wǎng)絡(luò)插件或遠(yuǎn)程網(wǎng)絡(luò)進(jìn)行完整的自定義和控制。

你可以根據(jù)需要創(chuàng)建任意數(shù)量的網(wǎng)絡(luò)，并且可以在任何給定時(shí)間將容器連接到這些網(wǎng)絡(luò)中的零個或多個網(wǎng)絡(luò)。此外，您可以連接并斷開網(wǎng)絡(luò)中的運(yùn)行容器，而無需重新啟動容器。當(dāng)容器連接到多個網(wǎng)絡(luò)時(shí)，其外部連接通過第一個非內(nèi)部網(wǎng)絡(luò)以詞法順序提供。

接下來介紹Docker的內(nèi)置網(wǎng)絡(luò)驅(qū)動程序。

4.1 bridge

一個bridge網(wǎng)絡(luò)是Docker中最常用的網(wǎng)絡(luò)類型。橋接網(wǎng)絡(luò)類似于默認(rèn)bridge網(wǎng)絡(luò)，但添加一些新功能并刪除一些舊的能力。以下示例創(chuàng)建一些橋接網(wǎng)絡(luò)，并對這些網(wǎng)絡(luò)上的容器執(zhí)行一些實(shí)驗(yàn)。

$ docker network create --driver bridge new_bridge

創(chuàng)建網(wǎng)絡(luò)后，可以看到新增加了一個網(wǎng)橋(172.18.0.1)。

$ ifconfig

br-f677ada3003c: flags=4099 mtu 1500

inet 172.18.0.1 netmask 255.255.0.0 broadcast 0.0.0.0

ether 02:42:2f:c1:db:5a txqueuelen 0 (Ethernet)

RX packets 4001976 bytes 526995216 (502.5 MiB)

RX errors 0 dropped 35 overruns 0 frame 0

TX packets 1424063 bytes 186928741 (178.2 MiB)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

docker0: flags=4163 mtu 1500

inet 172.17.0.1 netmask 255.255.0.0 broadcast 0.0.0.0

inet6 fe80::42:5fff:fe21:c208 prefixlen 64 scopeid 0x20

ether 02:42:5f:21:c2:08 txqueuelen 0 (Ethernet)

RX packets 12 bytes 2132 (2.0 KiB)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 24 bytes 2633 (2.5 KiB)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

4.2 Macvlan

Macvlan是一個新的嘗試，是真正的網(wǎng)絡(luò)虛擬化技術(shù)的轉(zhuǎn)折點(diǎn)。Linux實(shí)現(xiàn)非常輕量級，因?yàn)榕c傳統(tǒng)的Linux Bridge隔離相比，它們只是簡單地與一個Linux以太網(wǎng)接口或子接口相關(guān)聯(lián)，以實(shí)現(xiàn)網(wǎng)絡(luò)之間的分離和與物理網(wǎng)絡(luò)的連接。

Macvlan提供了許多獨(dú)特的功能，并有充足的空間進(jìn)一步創(chuàng)新與各種模式。這些方法的兩個高級優(yōu)點(diǎn)是繞過Linux網(wǎng)橋的正面性能以及移動部件少的簡單性。刪除傳統(tǒng)上駐留在Docker主機(jī)NIC和容器接口之間的網(wǎng)橋留下了一個非常簡單的設(shè)置，包括容器接口，直接連接到Docker主機(jī)接口。由于在這些情況下沒有端口映射，因此可以輕松訪問外部服務(wù)。

4.2.1 Macvlan Bridge模式示例用法

Macvlan Bridge模式每個容器都有唯一的MAC地址，用于跟蹤Docker主機(jī)的MAC到端口映射。 Macvlan驅(qū)動程序網(wǎng)絡(luò)連接到父Docker主機(jī)接口。示例是物理接口，例如eth0，用于802.1q VLAN標(biāo)記的子接口eth0.10(.10代表VLAN 10)或甚至綁定的主機(jī)適配器，將兩個以太網(wǎng)接口捆綁為單個邏輯接口。 指定的網(wǎng)關(guān)由網(wǎng)絡(luò)基礎(chǔ)設(shè)施提供的主機(jī)外部。 每個Macvlan Bridge模式的Docker網(wǎng)絡(luò)彼此隔離，一次只能有一個網(wǎng)絡(luò)連接到父節(jié)點(diǎn)。每個主機(jī)適配器有一個理論限制，每個主機(jī)適配器可以連接一個Docker網(wǎng)絡(luò)。 同一子網(wǎng)內(nèi)的任何容器都可以與沒有網(wǎng)關(guān)的同一網(wǎng)絡(luò)中的任何其他容器進(jìn)行通信macvlan bridge。 相同的docker network命令適用于vlan驅(qū)動程序。 在Macvlan模式下，在兩個網(wǎng)絡(luò)/子網(wǎng)之間沒有外部進(jìn)程路由的情況下，單獨(dú)網(wǎng)絡(luò)上的容器無法互相訪??問。這也適用于同一碼頭網(wǎng)絡(luò)內(nèi)的多個子網(wǎng)。

在以下示例中，eth0在docker主機(jī)網(wǎng)絡(luò)上具有IP地址172.16.86.0/24，默認(rèn)網(wǎng)關(guān)為172.16.86.1，網(wǎng)關(guān)地址為外部路由器172.16.86.1。

注意對于Macvlan橋接模式，子網(wǎng)值需要與Docker主機(jī)的NIC的接口相匹配。例如，使用由該-o parent=選項(xiàng)指定的Docker主機(jī)以太網(wǎng)接口的相同子網(wǎng)和網(wǎng)關(guān)。

此示例中使用的父接口位于eth0子網(wǎng)上172.16.86.0/24，這些容器中的容器docker network也需要和父級同一個子網(wǎng)-o parent=。網(wǎng)關(guān)是網(wǎng)絡(luò)上的外部路由器，不是任何ip偽裝或任何其他本地代理。

驅(qū)動程序用-d driver_name選項(xiàng)指定，在這種情況下-d macvlan。

父節(jié)點(diǎn)-o parent=eth0配置如下：

$ ip addr show eth0

3: eth0: mtu 1500 qdisc pfifo_fast state UP group default qlen 1000

inet 172.16.86.250/24 brd 172.16.86.255 scope global eth0

創(chuàng)建macvlan網(wǎng)絡(luò)并運(yùn)行附加的幾個容器：

# Macvlan (-o macvlan_mode= Defaults to Bridge mode if not specified)

docker network create -d macvlan \

--subnet=172.16.86.0/24 \

--gateway=172.16.86.1 \

-o parent=eth0 pub_net

# Run a container on the new network specifying the --ip address.

docker run --net=pub_net --ip=172.16.86.10 -itd alpine /bin/sh

# Start a second container and ping the first

docker run --net=pub_net -it --rm alpine /bin/sh

ping -c 4 172.16.86.10

看看容器ip和路由表：

ip a show eth0

eth0@if3: mtu 1500 qdisc noqueue state UNKNOWN

link/ether 46:b2:6b:26:2f:69 brd ff:ff:ff:ff:ff:ff

inet 172.16.86.2/24 scope global eth0

ip route

default via 172.16.86.1 dev eth0

172.16.86.0/24 dev eth0 src 172.16.86.2

# NOTE: the containers can NOT ping the underlying host interfaces as

# they are intentionally filtered by Linux for additional isolation.

# In this case the containers cannot ping the -o parent=172.16.86.250

4.2.2 Macvlan 802.1q Trunk Bridge模式示例用法

VLAN(虛擬局域網(wǎng))長期以來一直是虛擬化數(shù)據(jù)中心網(wǎng)絡(luò)的主要手段，目前仍在幾乎所有現(xiàn)有的網(wǎng)絡(luò)中隔離廣播的主要手段。

常用的VLAN劃分方式是通過端口進(jìn)行劃分，盡管這種劃分VLAN的方式設(shè)置比較很簡單，但僅適用于終端設(shè)備物理位置比較固定的組網(wǎng)環(huán)境。隨著移動辦公的普及，終端設(shè)備可能不再通過固定端口接入交換機(jī)，這就會增加網(wǎng)絡(luò)管理的工作量。比如，一個用戶可能本次接入交換機(jī)的端口1，而下一次接入交換機(jī)的端口2，由于端口1和端口2屬于不同的VLAN，若用戶想要接入原來的VLAN中，網(wǎng)管就必須重新對交換機(jī)進(jìn)行配置。顯然，這種劃分方式不適合那些需要頻繁改變拓?fù)浣Y(jié)構(gòu)的網(wǎng)絡(luò)。而MAC VLAN可以有效解決這個問題，它根據(jù)終端設(shè)備的MAC地址來劃分VLAN。這樣，即使用戶改變了接入端口，也仍然處在原VLAN中。

Mac vlan不是以交換機(jī)端口來劃分vlan。因此，一個交換機(jī)端口可以接受來自多個mac地址的數(shù)據(jù)。一個交換機(jī)端口要處理多個vlan的數(shù)據(jù)，則要設(shè)置trunk模式。

在主機(jī)上同時(shí)運(yùn)行多個虛擬網(wǎng)絡(luò)的要求是非常常見的。Linux網(wǎng)絡(luò)長期以來一直支持VLAN標(biāo)記，也稱為標(biāo)準(zhǔn)802.1q，用于維護(hù)網(wǎng)絡(luò)之間的數(shù)據(jù)路由隔離。連接到Docker主機(jī)的以太網(wǎng)鏈路可以配置為支持802.1q VLAN ID，方法是創(chuàng)建Linux子接口，每個子接口專用于唯一的VLAN ID。

創(chuàng)建Macvlan網(wǎng)絡(luò)

VLAN ID 10

$ docker network create \

--driver macvlan \

--subnet=10.10.0.0/24 \

--gateway=10.10.0.253 \

-o parent=eth0.10 macvlan10

開啟一個橋接Macvlan的容器：

$ docker run --net=macvlan10 -it --name macvlan_test1 --rm alpine /bin/sh

/ # ip addr show

1: lo: mtu 65536 qdisc noqueue state UNKNOWN

link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

inet 127.0.0.1/8 scope host lo

valid_lft forever preferred_lft forever

21: eth0@if13: mtu 1500 qdisc noqueue state UNKNOWN

link/ether 02:42:0a:0a:00:01 brd ff:ff:ff:ff:ff:ff

inet 10.10.0.1/24 scope global eth0

valid_lft forever preferred_lft forever

可以看到分配了一個10.10.0.1的地址，然后看一下路由地址。

/ # ip route

default via 10.10.0.253 dev eth0

10.10.0.0/24 dev eth0 src 10.10.0.1

然后再開啟一個橋接Macvlan的容器：

$ docker run --net=macvlan10 -it --name macvlan_test2 --rm alpine /bin/sh

/ # ip addr show

1: lo: mtu 65536 qdisc noqueue state UNKNOWN

link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

inet 127.0.0.1/8 scope host lo

valid_lft forever preferred_lft forever

22: eth0@if13: mtu 1500 qdisc noqueue state UNKNOWN

link/ether 02:42:0a:0a:00:02 brd ff:ff:ff:ff:ff:ff

inet 10.10.0.2/24 scope global eth0

valid_lft forever preferred_lft forever

可以看到分配了一個10.10.0.2的地址，然后可以在兩個容器之間相互ping，是可以ping通的。

/ # ping 10.10.0.1

PING 10.10.0.1 (10.10.0.1): 56 data bytes

64 bytes from 10.10.0.1: seq=0 ttl=64 time=0.094 ms

64 bytes from 10.10.0.1: seq=1 ttl=64 time=0.057 ms

經(jīng)過上面兩個容器的創(chuàng)建可以看出，容器IP是根據(jù)創(chuàng)建網(wǎng)絡(luò)時(shí)的網(wǎng)段從小往大分配的。

當(dāng)然，在創(chuàng)建容器時(shí)，我們也可以使用--ip手動執(zhí)行一個IP地址分配給容器，如下操作。

$ docker run --net=macvlan10 -it --name macvlan_test3 --ip=10.10.0.189 --rm alpine /bin/sh

/ # ip addr show eth0

24: eth0@if13: mtu 1500 qdisc noqueue state UNKNOWN

link/ether 02:42:0a:0a:00:bd brd ff:ff:ff:ff:ff:ff

inet 10.10.0.189/24 scope global eth0

valid_lft forever preferred_lft forever

VLAN ID 20

接著可以創(chuàng)建由Docker主機(jī)標(biāo)記和隔離的第二個VLAN網(wǎng)絡(luò)，該macvlan_mode默認(rèn)是macvlan_mode=bridge，如下：

$ docker network create \

--driver macvlan \

--subnet=192.10.0.0/24 \

--gateway=192.10.0.253 \

-o parent=eth0.20 \

-o macvlan_mode=bridge macvlan20

當(dāng)我們創(chuàng)建完Macvlan網(wǎng)絡(luò)之后，在docker主機(jī)可以看到相關(guān)的子接口，如下：

$ ifconfig

eth0.10: flags=4163 mtu 1500

ether 00:0c:29:16:01:8b txqueuelen 0 (Ethernet)

RX packets 0 bytes 0 (0.0 B)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 18 bytes 804 (804.0 B)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

eth0.20: flags=4163 mtu 1500

ether 00:0c:29:16:01:8b txqueuelen 0 (Ethernet)

RX packets 0 bytes 0 (0.0 B)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 0 bytes 0 (0.0 B)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

在/proc/net/vlan/config文件中，還可以看見相關(guān)的Vlan信息，如下：

$ cat /proc/net/vlan/config

VLAN Dev name | VLAN ID

Name-Type: VLAN_NAME_TYPE_RAW_PLUS_VID_NO_PAD

eth0.10 | 10 | eth0

eth0.20 | 20 | eth0

總結(jié)

以上是生活随笔為你收集整理的查看此docker网络连接模式_Docker：网络模式详解的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。