docker网络模式-none-host-bridge-container-overlay

docker网络模式none模式无网络特点容器拥有自己的网络命名空间但不配置任何网络接口除了 lo 回环接口。用途适用于不需要网络功能的容器比如某些只进行本地计算或文件处理的任务。示例dockerrun--networknone my_containerhost模式主机网络特点容器共享宿主机的网络命名空间。容器不会获得独立的 IP 地址而是直接使用宿主机的网络接口。优点性能高网络开销最小。缺点缺乏网络隔离可能带来安全风险。用途适合对网络性能要求高、不需要隔离的场景。示例dockerrun--networkhostmy_containerbridge模式默认桥接网络特点容器使用 Docker 自动创建的默认桥接网络如bridge。每个容器拥有独立的 IP 地址并通过虚拟网桥进行通信。容器之间可以通过 IP 通信但默认无法通过服务名解析。用途适合单主机上的容器通信。注意也可以创建自定义桥接网络推荐支持 DNS 解析容器可以通过服务名互相访问。创建自定义桥接网络示例dockernetwork create my_bridge_networkdockerrun--networkmy_bridge_network--nameweb my_web_appdockerrun--networkmy_bridge_network--namedb my_dbcontainer模式容器共享网络特点新容器与一个已存在的容器共享网络命名空间。它们拥有相同的 IP 和端口空间。用途适合多个容器需要共享网络资源的场景。示例dockerrun--namecontainerA-dmy_appdockerrun--networkcontainer:containerA my_other_appoverlay模式覆盖网络用于 Docker Swarm特点用于跨多个 Docker 主机的容器通信。容器可以在不同的主机之间通过服务名互相通信。用途Docker Swarm 集群中服务之间的通信。创建方式需要在 Swarm 模式下dockerswarm initdockernetwork create--driveroverlay my_overlay_network 自定义网络Custom NetworksDocker 支持用户自定义网络如上面提到的桥接和覆盖网络提供更好的隔离性和服务发现功能。自定义网络支持内置 DNS容器可以通过服务名解析彼此。手动创建dockernetwork create --helpUsage:dockernetwork create[OPTIONS]NETWORK Create a network Options: -d,--driverstring 指定网络类型默认是桥接bridge--subnetstrings 指定自定义的网络网段 CIDR172.100.0.0./24 --ip-range strings 指定自定义网络中ip范围 CIDR172.100.1.0/24--gatewaystrings 指定网关创建172.100.1.0/24桥接的dockernetwork create zhu_net--driverbridge--subnet172.100.1.0/24 --ip-range172.100.1.0/24--gateway172.100.1.1**font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);zhu_net/font**自定义网络的名称后续容器可通过font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);--network zhu_net/font加入该网络。**font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);--driver bridge/font**指定网络驱动为font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);bridge/font默认值可省略。桥接网络的特点容器间通过内部 IP 通信。可通过端口映射font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);-p/font暴露服务到宿主机。支持自动 DNS 解析同一网络内的容器可通过名称互相访问。**font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);--subnet 172.100.1.0/24/font**定义网络的子网范围为font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);172.100.1.0/font到font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);172.100.1.255/fontCIDR 表示法font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);/24/font。容器 IP 将从此池中分配。**font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);--ip-range 172.100.1.0/24/font**指定容器可分配的 IP 范围此处与font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);--subnet/font相同表示所有子网 IP 均可分配。可缩小范围如font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);--ip-range 172.100.1.100-172.100.1.200/font以保留部分 IP 供特殊用途。**font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);--gateway 172.100.1.1/font**设置网关地址为font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);172.100.1.1/font通常作为容器访问外部网络的出口。Docker 会自动在宿主机上创建对应的网桥接口如font stylecolor:rgb(6, 7, 31);background-color:rgba(27, 31, 35, 0.05);br-xxxxxxxxxxxx/font。检查宿主机是否存在172.100.1.0ipipa|grep172.100.1.0启动nginx容器并接入自定义网络zhu_netdockerrun-d--networkzhu_net--namediy_net nginx:1.24 选项 -d后台运行--networkzhu_net将容器连接到名为zhu_net的自定义网络--namediy_net为容器指定名称diy_net(否则Docker会随机生成一个名称)nginx:1.24使用Nginx官方镜像的1.24版本(若本地不存在会自动拉取)检查容器是否能访问外部网络dockerexec-itdiy_netcurl-Ibaidu.com✅ 总结对比表网络模式网络隔离是否共享主机网络是否有独立 IP是否支持 DNS适用场景none是否否否无需网络host否是否否高性能需求bridge是否是否默认/是自定义单主机通信container否否否否共享网络overlay是否是是Swarm 集群通信跨主机的网络类型在 Docker 中实现跨主机通信即不同物理主机或虚拟机上的 Docker 容器之间通信需要使用支持多主机的网络驱动。Docker 提供了几种方式来实现跨主机的容器网络通信常见的跨主机网络类型包括✅ 1.Overlay 网络推荐概述Overlay 网络是 Docker 原生支持的跨主机网络方案。它基于 VXLAN 技术实现可以在多个 Docker 主机之间创建一个虚拟的二层网络。需要使用 Docker Swarm 模式来管理集群节点。特点支持服务发现和负载均衡。支持加密通信可选。适用于 Swarm 集群环境。可以用于部署服务Service或运行独立容器--attachable。使用方式# 创建 overlay 网络必须在 Swarm 模式下dockernetwork create--driveroverlay my-overlay-net# 启动容器并指定该网络dockerservicecreate--networkmy-overlay-net--namemy-service my-image✅ 2.Calico概述Calico 是一个高性能的网络解决方案支持容器、虚拟机和主机之间的网络互通。使用 BGP 协议进行路由适合大规模部署。支持策略管理NetworkPolicy安全性强。特点支持跨主机通信。不依赖 Swarm支持 Kubernetes 和独立 Docker。支持网络策略、加密和访问控制。高性能适合云原生场景。使用方式通常通过 Kubernetes 或 Docker 的网络插件管理器如 Docker libnetwork IPAM来集成 Calico。✅ 3.Weave Net概述Weave Net 是一个简单易用的跨主机容器网络方案。自动建立虚拟网络让容器像在同一个局域网中一样通信。支持加密通信。特点容器自动获得 IP 并可跨主机访问。支持 DNS 服务发现。支持加密--password。无需依赖 Swarm。使用方式安装 Weave 并启动# 安装 Weave Netsudocurl-Lhttps://github.com/weaveworks/weave/releases/download/v2.8.1/weave-o/usr/local/bin/weavesudochmodax /usr/local/bin/weave# 启动 Weaveweave launcheval$(weaveenv)# 创建容器并加入 Weave 网络dockerrun--namemy-container-d--expose80my-image✅ 4.Flannel概述Flannel 是 CoreOS 开发的用于容器的网络解决方案。为每个主机分配一个子网容器使用该子网中的 IP。通常与 Kubernetes 配合使用也支持 Docker。特点简单、易用。支持多种后端VXLAN、UDP、Host-GW 等。不支持网络策略需配合其他工具如 Cilium。使用方式通常用于 Kubernetes 集群也可以在 Docker 中手动配置。✅ 5.MACVLAN / IPVLAN概述这些是 Linux 内核级别的网络虚拟化技术。容器可以直接获得物理网络中的 IP从而实现跨主机通信前提是物理网络支持。特点容器拥有独立的 MAC/IP 地址。可以直接暴露在物理网络中。需要物理网络支持如交换机允许混杂模式。不适合大规模跨主机通信但适合特定场景。使用方式dockernetwork create-dmacvlan\--subnet192.168.1.0/24\--gateway192.168.1.1\-oparentenp0s3 my-macvlan-netdockerrun--networkmy-macvlan-net-dmy-image✅ 6.自定义网络插件如 Contiv、Cilium、Kube-router 等这些是第三方网络插件适用于更复杂、企业级的部署通常支持网络策略NetworkPolicy高级路由和负载均衡与 Kubernetes 集成良好 总结对比表网络类型是否原生 Docker是否支持跨主机是否需要 Swarm是否支持策略适用场景Overlay✅ 是✅ 是✅ 是Swarm❌ 否Swarm 集群Calico❌ 否✅ 是❌ 否✅ 是Kubernetes/DockerWeave Net❌ 否✅ 是❌ 否❌ 否可加密简单跨主机通信Flannel❌ 否✅ 是❌ 否❌ 否Kubernetes 网络基础MACVLAN/IPVLAN✅ 是✅ 是需网络❌ 否❌ 否直接接入物理网络第三方插件❌ 否✅ 是❌ 否✅ 是企业级、K8s 集群Docker底层原理Docker 的底层实现依赖于 Linux 内核提供的多种隔离机制和资源管理技术它通过这些机制实现了容器的轻量化、隔离性和可移植性。我们可以从以下几个方面来理解 Docker 的底层原理 Docker 的核心底层技术Namespaces命名空间——实现隔离性Namespaces 是 Linux 内核提供的一种隔离机制Docker 利用多个命名空间来实现容器的隔离性。Namespace 类型作用PID进程隔离每个容器有自己的进程树Network网络隔离每个容器有自己的网络栈IP、端口等Mount文件系统挂载点隔离每个容器有独立的文件系统视图UTS主机名和域名隔离IPC进程间通信隔离User用户和用户组隔离容器内 root 可映射为宿主机的普通用户Cgroup控制组命名空间用于限制资源使用CPU、内存等Docker 容器本质上就是一个被多个命名空间“包裹”的进程。Control Groupscgroups——实现资源限制cgroups 是 Linux 内核提供的资源管理机制用于限制、统计和隔离进程组使用的物理资源如 CPU、内存、磁盘 I/O 等。功能示例限制 CPU 使用限制某个容器最多使用 1 个 CPU 核心限制内存限制容器最多使用 2GB 内存限制 I/O限制容器磁盘读写速度统计资源使用监控容器的 CPU、内存使用情况Docker 通过 cgroups 实现容器的资源控制和限制。Union File Systems联合文件系统——实现镜像分层和写时复制Docker 使用 UnionFS如 AUFS、OverlayFS、Btrfs、ZFS 等来构建容器的文件系统。特点镜像由多个只读层组成容器在最上层添加一个可写层写时复制 Copy-on-Write。每次修改文件时会复制原始文件到可写层进行修改不影响原始层。支持高效共享镜像层节省磁盘空间。常见的存储驱动OverlayFS推荐AUFSBtrfsZFSDevice MapperUnionFS 是 Docker 镜像构建和容器运行的基础。️ Docker 的运行流程底层视角当你运行一个容器时Docker 引擎dockerd会做以下事情拉取或加载镜像镜像由多个只读层组成使用 UnionFS 加载。创建容器文件系统在镜像层之上添加一个可写层容器层。创建命名空间创建新的 PID、Network、Mount、UTS、IPC 等命名空间。设置资源限制cgroups限制容器的 CPU、内存等资源。启动容器进程使用clone()系统调用启动容器主进程如/bin/bash。配置网络创建虚拟网卡、设置 IP、路由、NAT、端口映射等。挂载卷Volume将宿主机目录或卷挂载到容器中。 Docker 架构组件Docker 的整体架构由以下几个核心组件构成组件作用Docker Client用户与 Docker 交互的命令行工具CLIDocker Daemondockerd后台守护进程负责管理容器、镜像、网络、卷等containerd容器生命周期管理工具由 dockerd 调用runc容器运行时负责根据 OCI 标准创建和运行容器调用 Linux 内核功能OCIOpen Container Initiative容器运行时的标准规范runc 是其参考实现Docker 从 v1.11 开始将核心功能拆分为多个组件runc是底层运行容器的核心工具。Docker 镜像结构分层原理Docker 镜像采用分层结构每一层是一个只读的文件系统层Layer每一层代表一次文件系统的变更。FROM ubuntu:20.04# 基础层COPY./app# 新增一层RUNmakebuild# 新增一层CMD[python,app.py]# 容器启动命令所有镜像层是只读的。容器运行时会在最上层添加一个可写层Container Layer。多个容器可以共享同一个镜像的只读层节省空间。Docker 网络实现原理Docker 使用 Linux 的网络虚拟化技术来实现容器网络默认桥接网络BridgeDocker 会创建一个虚拟网桥docker0。每个容器启动时会分配一个虚拟网卡veth pair一端连接容器一端连接docker0。容器之间通过docker0网桥通信。Overlay 网络使用 VXLAN 技术在多个主机之间建立虚拟网络。支持跨主机容器通信需要 Docker Swarm 或 Kubernetes。自定义网络使用 CNI 插件如 Calico、Weave、Flannel 等使用 CNIContainer Network Interface标准进行网络配置。Docker 安全机制命名空间隔离容器进程与宿主机进程隔离防止互相干扰。cgroups 资源限制防止某个容器占用过多资源导致系统崩溃。Seccomp、AppArmor、SELinux限制容器进程能调用的系统调用防止提权或攻击。User Namespace容器内 root 用户映射为宿主机的普通用户增强安全性。Docker 与虚拟机的区别底层视角对比项Docker 容器虚拟机VM启动速度毫秒级秒级甚至更久隔离性进程级隔离命名空间硬件级隔离Hypervisor资源开销极低共享宿主机内核高每个 VM 都有自己的内核性能几乎无损耗有性能损耗需要模拟硬件依赖Linux 内核支持依赖 Hypervisor如 KVM、VMware 总结Docker 的底层原理可以概括为Docker 利用 Linux 内核提供的 Namespaces 实现隔离cgroups 实现资源限制UnionFS 实现镜像分层和写时复制通过 runc 启动容器进程最终实现了轻量、快速、可移植的容器化运行环境。如果你对某一部分如网络、镜像结构、安全机制等感兴趣我可以提供更深入的讲解或示例。Docker apidocker api极其危险不要暴漏在外启动grep-iexecstart /usr/lib/systemd/system/docker.serviceExecStart/usr/bin/dockerd-Hunix:///var/run/docker.sock-H0.0.0.0:2375 systemctl daemon-reload systemctl restartdocker测试curlhttp://10.0.0.81:2375/info|jq后期为了安全可以把0.0.0.0改为docker所在机器的内网ip给docker 2375端口增加认证功能ngxapi文档查看api版本 docker version | grep APIhttps://docs.docker.com/reference/api/engine/version/v1.43/#tag/Container查看容器的名字和运行状态curl-shttp://10.0.0.81:2375/containers/json|jq.[]| .Names, .state删除容器curl-XDELETE http://10.0.0.81:2375/containers/test_php74关闭容器curl-XPOST http://10.0.0.81:2375/containers/test_php74/stop创建容器curl-XPOST http://10.0.0.81:2375/containers/create-HContent-Type:application/json-d{Image:nginx:1.24}