Docker（四）：Docker基本网络配置

1、Libnetwork

　　Libnetwork提出了新的容器网络模型简称为CNM，定义了标准的API用于为容器配置网络。

　　CNM三个重要概念：

　　　　沙盒：一个隔离的网络运行环境，保存了容器网络栈的配置，包括了对网络接口、路由表、DNS的配置。

　　　　Endpoint：Endpoint将沙盒加入到一个网络中，一个Endpoint只能属于一个沙盒。

　　　　网络：网络包括一组能互相通信的Endpoint。

　　CNM的五种驱动：

　　　　bridge：Docker默认的网络驱动，Container通过一对veth pair链接到Dokcer网桥上，由Docker为容器动态分配IP及路由规则等。

　　　　host：容器与主机共享同一Network Namespace。

　　　　null：容器内网络配置为空，需要用户手动配置网络。

　　　　remote：Docker网络插件的实现，使CNM通过HTTP RESTful API对接第三方的网络方案。

　　　　overlay：Docker原生跨主机多子网网络方案，需要内核>=3.16才可正常使用。

2、基本网络配置

　　none：不为容器配置任何网络参数

　　　　启动容器：docker run --net=none -ti ubuntu:latest ip addr show

　　　　可以看到容器仅有一个lo环回接口，可以为手动容器配置网络。

　　container：与另一个容器共享Network Namespace

　　　　首先启动一个名为dockerNet的容器，dns为8.8.4.4

　　　　　　docker run -h dockerNet --dns 8.8.4.4 -tid ubuntu:latest bash

　　　　　　进入到容器并查看网络配置

　　　　　　docker exec -ti dockerNetID bash

　　　　再次启动共享网络的docker容器

　　　　　　docker run --net=container:dockerNetID -ti ubuntu:latest bash

　　　　再次查看网络配置，其IP地址、DNS、hostname都继承了dockerNet

　　host：与主机共享Root Network Namespace，容器可以完全操纵主机的协议栈、路由表，所以一般避免使用host模式

　　　　docker run --net=host -ti ubuntu:latest bash

　　　　查看网络配置与主机一样

　　bridge：Docker设计的NAT网络模型

　　　　docke run -ti --net=bridge ubuntu:latest ip addr show

　　　　该容器会从172.17.42.1/16子网内分配IP

　　overlay：Docker原生的跨主机多子网模型

　　　　overlay网络比较复杂，底层需要类似consul或etcd的KV存储系统进行消息同步，核心是通过Linux网桥与vxlan隧道实现跨主机划分子网。

　　　　overlay网络创建步骤：

　　　　　　获取实验版Docker：

　　　　　　　　curl -sSL https://experimental.docker.com/ | sh

　　　　　　主机1以bootstrap模式运行consul server

　　　　　　　　consul agent -server -bootstrap -data-dir /tmp/consul -bind Host-1-IP

　　　　　　主机2启动consul client

　　　　　　　　consul agent -data-dir /tmp/consul -bind HOST-2-IP

　　　　　　　　consul join HOST-1-IP

　　　　　　主机1启动Docker daemon

　　　　　　　　docker daemon --kv-store=consul:localhost:8500 --label=com.docker.network.driver.overlay.bind_interface=eth0

　　　　　　主机2启动daemon

　　　　　　　　docker daemon --kv-store=consul:localhost:8500 --label=com.docker.network.driver.overlay.bind_interface=eth0 \

　　　　　　　　--label=com.docker.network.driver.overlay.neighbor_ip=Host-1-IP

　　　　　　在主机1上创建overlay网络

　　　　　　　　docker network create -d overlay dev

　　　　　　查看创建的网络：docker network ls

　　　　　　在主机1上运行一个容器

　　　　　　　　docker run -tid --publish-service test.dev ubuntu:latest bash

　　　　　　　　test.dev：为容器在dev网络上绑定一个test的服务

　　　　　　在主机2上运行一个容器

　　　　　　　　docker run -tid --publish-service test1.dev.overlay ubuntu:latest bash

　　　　　　　　test1.dev.overlay：绑定名为test1的服务，test1服务所在的网络是dev，网络类型是overlay

　　　　　　此时主机1和主机2上的容器是可以通信的

　　　　overlay网络详情查看

　　　　　　沙盒保存在/var/run/docker/netns

　　　　　　创建软连接：ln -s 　/var/run/docker/netns/OverLayNetID /var/run/netns/OverLayNetID

　　　　　　创建软连接是为了能够使用IP命令操纵名字空间

　　　　　　查看端口详细信息：

　　　　　　　　ip netns exec OverLayNetID ip addr show

　　　　　　查看网桥信息：　　

　　　　　　　　ip netns exec OverLayNetID brctl show　　

　　　　　　查看vxlan信息：

　　　　　　　　ip netns exec OverLayNetID ip -d link show vxlan1 (vxlan1为网桥信息显示的interfaces)

　　　　　　　　# vxlan id表示为占用的vxlan隧道，一般为256~1000

3、Docker相关网络参数

　　Daemon相关：

　　　　查看帮助：docker daemon --help

　　　　-b,--bridge=　　#指定docker使用的网桥，默认为docker0

　　　　--bip=　　　　 #指定docker0网桥的IP，不能与-b一起使用

　　　　--default-gateway=　　#设置容器的默认网关

　　　　--default-gateway-ipv6　#设置容器的ipv6网关

　　　　--dns=[]　　　　#设置容器的dns

　　　　--dns-search=[] #设置容器的search domain

　　　　--fixed-cidr=　　#定义容器的网段

　　　　--fixed-cidr-ipv6=

　　　　-H,--host=[]　　#指定docker client和docker daemon通信的socket地址，可以是tcp地址、unix socket地址或socket文件描述符，可同时指定多个

　　　　　　　　　　　#如：docker daemon -H tcp://10.10.10.10:60000 -H unix:///var/run/docker.sock

　　　　　　　　　　　#代表docker同时监听60000端口和docker.sock文件

　　　　--icc=true　　 #允许/禁止容器间通信

　　　　--ip=0.0.0.0　 #容器暴露端口时绑定的主机IP，默认为0.0.0.0

　　　　--ip-forward=true　　#开启转发功能

　　　　--userland-proxy=true　　#生产环境建议设置为false

　　Client相关：

　　　　查看帮助：docker run --help

　　　　--add-host=[]　　　　#在容器内的hosts文件添加一行解析

　　　　--dns=[]

　　　　--dns-search=[]

　　　　--expose=[]　　　　#暴露容器的端口，而不映射到主机端口

　　　　-h,--hostname=　　#设置容器的主机名

　　　　--link=[]　　　　　 #链接到另一个容器，在容器中可以通过ID或主机名访问到其他容器

　　　　--max-address=

　　　　-net=bridge　　　　#设置容器的网络运行模式，模式为上述介绍

　　　　-P,--publish-all=false　　#将容器所有暴露出的端口映射到主机随机端口

　　　　-p,--publish=[]　　　#将容器一段范围内的端口映射到主机指定的端口

　　Docker Daemon实例：

　　　　docker daemon -H tcp://10.10.10.10:50000 -H unix:///var/run/docker.sock --fixed-cidr=172.17.55.0/24 --icc=false --userland-proxy=false

　　　　# --fixed-cidr指定容器将从172.17.55.0网段分配IP，--icc 禁止容器间通信，

　　Dokcer Client示例1：

　　　　docker run -tid --net=bridge -p 10000:22/tcp -h docker ubuntu:latest bash

　　　　# 启动一个主机名为docker 网络模式为bridge的容器，将10000映射到22端口，此容器会获取一个55.0网段的IP

　　Docker Client示例2：

　　　　docker run -tid --name=c1 ubuntu:latest bash

　　　　docker run -tid --link=c1:alias_c1 --name=c2 ubuntu:latest bash

　　　　# 首先启动了一个名为c1的容器，然后启动了一个连接到c1的名叫c2的容器，c1别名起为alias_c1，此时容器c2可通过c1别名与c1通信