docker容器网络

原创 已于 2022-08-10 12:32:58 修改 · 326 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#docker #网络 #容器

于 2022-08-10 12:09:51 首次发布
本文介绍了Docker的四种网络模式：bridge（默认模式，通过Docker网桥实现容器间通信）、container（共享网络命名空间）、host（直接使用宿主机网络）和none（无网络配置）。在bridge模式中，容器通过端口映射与外部通信；container模式下，容器共享IP；host模式则让容器与宿主机网络相同；none模式下，容器仅有回环网络，确保安全性。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

docker容器网络

Docker在安装后自动提供3种网络，可以使用docker network ls命令查看

[root@localhost ~]# docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
cd97bb997b84        bridge              bridge              local
0a04824fc9b6        host                host                local
4dcb8fbdb599        none                null                local

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

docker的4种网络模式

网络模式

配置

说明

host

--network host

容器和宿主机共享Network namespace

container

--network container:NAME_OR_ID

容器和另外一个容器共享Network namespace

none

--network none

容器有独立的Network namespace，
但并没有对其进行任何网络设置，
如分配veth pair 和网桥连接，配置IP等

bridge

--network bridge

默认模式

bridge模式

当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。

bridge模式是docker的默认网络模式，不写--network参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。

bridge模式如下图所示：

假设上图的docker2中运行了一个nginx，大家来想几个问题：

  • 同主机间两个容器间是否可以直接通信？比如在docker1上能不能直接访问到docker2的nginx站点？
  • 在宿主机上能否直接访问到docker2的nginx站点？
  • 在另一台主机上如何访问node1上的这个nginx站点呢？DNAT发布？

Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

[root@localhost ~]# docker  run -it --name  b1  busybox  /bin/sh
/ # 
/ # exit


[root@localhost ~]# docker start 2bbc7dfca345
2bbc7dfca345
[root@localhost ~]# docker ps 
CONTAINER ID   IMAGE     COMMAND     CREATED         STATUS         PORTS     NAMES
2bbc7dfca345   busybox   "/bin/sh"   2 minutes ago   Up 5 seconds             b1
[root@localhost ~]# 
[root@localhost ~]# 
[root@localhost ~]# docker exec -it b1 /bin/sh
/ # 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
28: eth0@if29: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
/ # 
/ # route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.17.0.1      0.0.0.0         UG    0      0        0 eth0
172.17.0.0      0.0.0.0         255.255.0.0     U     0      0        0 eth0
/ # 
/ # 

/ # ls
bin   dev   etc   home  proc  root  sys   tmp   usr   va
/ # 
/ # mkdir data
/ # echo ' page test.' > data/index.html
/ # cat data/index.html 
 page test.
/ # 
/ # httpd -f -h /data





[root@localhost ~]# nmcli dev
DEVICE       TYPE      STATE                   CONNECTION 
ens33        ethernet  connected               ens33      
docker0      bridge    connected (externally)  docker0    
vetha072405  ethernet  unmanaged               --         
lo           loopback  unmanaged               --         
[root@localhost ~]# 
[root@localhost ~]# docker run -it --rm busybox /bin/sh
/ # 
/ # ls
bin   dev   etc   home  proc  root  sys   tmp   usr   va
/ # 
/ #  wget -o - -q 172.17.0.2
page test.
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue ql
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:0
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
32: eth0@if33: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.3/16 brd 172.17.255.255 scope global e
       valid_lft forever preferred_lft forever
/ # 
/ # 



在宿主机上能直接访问到站点

[root@localhost ~]# curl 172.17.0.2
 page test.
[root@localhost ~]# 
[root@localhost ~]# 



在另一台主机上如何访问web1 上的这个站点
[root@localhost ~]# docker run -itd  --name web1 -p 80:80  aliyonghu/httpd:v0.1
9fcaca6935ad9d780684dc4280d9111eda86d194ba1ffb925e6321a2f242b648
[root@localhost ~]# docker ps
CONTAINER ID   IMAGE                  COMMAND            CREATED             STATUS             PORTS                               NAMES
9fcaca6935ad   aliyonghu/httpd:v0.1   "/entrypoint.sh"   28 seconds ago      Up 25 seconds      0.0.0.0:80->80/tcp, :::80->80/tcp   web1
2bbc7dfca345   busybox                "/bin/sh"          About an hour ago   Up About an hour                                       b1
[root@localhost ~]# 
[root@localhost ~]# ss -anlt
State  Recv-Q Send-Q Local Address:Port Peer Address:Port Process                                                   
LISTEN 0      128          0.0.0.0:80        0.0.0.0:*                                                              
LISTEN 0      128          0.0.0.0:22        0.0.0.0:*                                                              
LISTEN 0      128             [::]:80           [::]:*                                                              
LISTEN 0      128             [::]:22           [::]:*                                                              
[root@loc

container模式

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。

container模式如下图所示：

`

[root@localhost ~]# docker run -it --network container:web1 busybox /bin/sh
/ # 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
34: eth0@if35: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
/ # 



[root@localhost ~]# docker exec -it web1 /bin/sh
sh-4.4# 
sh-4.4# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
34: eth0@if35: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
sh-4.4#

以上可以看出它们公用一个ip

[root@localhost ~]# docker run -it --network container:web1 busybox /bin/sh
/ # 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
34: eth0@if35: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
/ # 
/ # touch abc
/ # ls
abc   dev   home  root  tmp   var
bin   etc   proc  sys   usr
/ # 
/ # wget -o - -q 127.0.0.1
page test.


[root@localhost ~]# docker exec -it web1 /bin/sh
sh-4.4# 
sh-4.4# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
34: eth0@if35: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0
       valid_lft forever preferred_lft forever
sh-4.4# 
sh-4.4# ls
bin	       home	   media  root	sys
dev	       lib	   mnt	  run	tmp
entrypoint.sh  lib64	   opt	  sbin	usr
etc	       lost+found  proc   srv	var
sh-4.4# 
sh-4.4#

由此可以看出共同一个ip，但是文件不存在共享

host模式

如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。

Host模式如下图所示：

[root@localhost ~]# docker run -it --network host  busybox /bin/sh
/ # 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel qlen 1000
    link/ether 00:0c:29:5b:67:13 brd ff:ff:ff:ff:ff:ff
    inet 192.168.119.155/24 brd 192.168.119.255 scope global noprefixroute ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::8cc8:a95b:7bf5:8e2a/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue 
    link/ether 02:42:bd:01:45:dd brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
    inet6 fe80::42:bdff:fe01:45dd/64 scope link 
       valid_lft forever preferred_lft forever
/ # 




[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:5b:67:13 brd ff:ff:ff:ff:ff:ff
    inet 192.168.119.155/24 brd 192.168.119.255 scope global noprefixroute ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::8cc8:a95b:7bf5:8e2a/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:bd:01:45:dd brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
    inet6 fe80::42:bdff:fe01:45dd/64 scope link 
       valid_lft forever preferred_lft forever
[root@localhost ~]# 
[root@localhost ~]# ss -anlt
State    Recv-Q   Send-Q       Local Address:Port             Peer Address:Port         Process         
LISTEN   0        128                0.0.0.0:22                    0.0.0.0:*                            
LISTEN   0        9                        *:80                          *:*                            
LISTEN   0        128                   [::]:22                       [::]:*                            
[root@localhost ~]# 


可以在容器上弄一个网站，可以在真机是访问
/ # ls
bin   etc   proc  sys   usr
dev   home  root  tmp   var
/ # 
/ # mkdir data
/ # echo 'hehe' > data/index.html 
/ # httpd -f -h data


[root@localhost ~]# firewall-cmd --add-rich-rule 'rule family=ipv4
 source address=0.0.0.0/0 service name=http accept ' --permanent 
success
[root@localhost ~]# firewall-cmd --reload 
success
[root@localhost ~]#

可以访问到网站

none模式

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过--network none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

应用场景：

  • 启动一个容器处理数据，比如转换数据格式
  • 一些后台的计算和处理任务

none模式如下图所示：

docker network inspect bridge #查看bridge网络的详细配置

[root@localhost ~]# docker run -it --network none  busybox /bin/sh
/ # 
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
/ # 
/ # exit
[root@localhost ~]#

Docker 容器网络
weixin_55651232的博客
07-22 1584
Docker 容器网络1. Docker 网络基本命令2. 网络模式简介2.1 host 模式2.2 Bridge 模式2.3 none 模式3.自定义网络3.1 自定义网络3.2 自定义网关、网段3.3 不同网桥之间通信4.同一主机间通信、跨主机通信二级目录三级目录 1. Docker 网络基本命令 docker network ls#查看网络 docker network inspect 网络#查看网络内部信息 docker network create 网络#新建网络 docker network c
Docker容器网络
时羽天的博客
08-09 1754
Docker容器网络、Docker容器网络配置、容器常用操作
docker容器_虚拟化
959
02-24 659
docker 文章目录docker1 虚拟化网络2 单节点容器间通信3 不同节点容器间通信 1 虚拟化网络 Network Namespace 是 Linux 内核提供的功能，是实现网络虚拟化的重要功能，它能创建多个隔离的网络空间，它们有独自网络栈信息。不管是虚拟机还是容器，运行的时候仿佛自己都在独立的网络中。而且不同Network Namespace的资源相互不可见，彼此之间无法通信。 假如我们...
Docker 容器之网络模式
qq_35485206的博客
07-23 575
​    Docker 除了上述四种原生的网络模式外， Docker 还能够扩展支持自定义网络模式。自定义的网络模式是对 Docker 默认 Bridge 网络的增强，提供了更佳的功能性和灵活性。自定义的网络模式能够用户根据需求，创建的虚拟网络环境，用于更精细地控制容器间的通信方式和网络配置。注意别于默认的桥接模式，使用的网络驱动仍是桥接，底层依然利用 Linux Bridge 、Veth Pair 技术，但功能比默认 Docker0 强大得多。
docker — 容器网络
tian830937的专栏
08-13 2349
Docker容器每次重启后容器ip是会发生变化的。这也意味着如果容器间使用ip地址来进行通信的话，一旦有容器重启，重启的容器将不再能被访问到。而Docker 网络就能够解决这个问题。Docker 网络主要有以下两个作用：容器间的互联和通信以及端口映射容器IP变动时候可以通过服务名直接网络通信而不受到影响因此只要是处于同一个Docker 网络下的容器就可以使用服务名进行直接访问，而无需担心重启。这也是Docker 网络最基本和常用的应用场景。
Docker 容器网络及其配置说明
mry6的博客
07-06 2879
自定义 docker0 网桥的网络属性信息需要修改 /etc/docker/daemon.json 配置文件在客户端上像 dockerd 直接传递 "-H|–host"选项指定要控制哪台主机上的 docker 容器/ #再创建一个容器，使用默认的bridge桥/ # ls/ #
Docker之网络配置
热门推荐
2401_84152109的博客
04-30 60万+
小编也是很有感触，如果一直都是在中小公司，没有接触过大型的互联网架构设计的话，只靠自己看书去提升可能一辈子都很难达到高级架构师的技术和认知高度。向厉害的人去学习是最有效减少时间摸索、精力浪费的方式。我们选择的这个行业就一直要持续的学习，又很吃青春饭。虽然大家可能经常见到说程序员年薪几十万，但这样的人毕竟不是大部份，要么是有名校光环，要么是在阿里华为这样的大企业。年龄一大，更有可能被裁。送给每一位想学习Java小伙伴，用来提升自己。
【Docker容器网络配置】解决容器内域名解析失败：通过配置自定义DNS服务器实现网络访问正常化
最新发布
08-15
使用场景及目标：①当遇到docker容器内部无法访问外部网络或解析特定域名时；②希望提升Docker镜像拉取速度以及优化Docker运行环境。 阅读建议：在实际操作前，请先备份原有的daemon.json文件；根据自身网络环境选择...
【Docker技术】Docker容器网络连接与端口映射详解：容器互联、端口绑定及DNS配置方法了文档的主要内容
07-15
然后介绍了创建和使用自定义 Docker 网络（如 bridge 类型）来实现容器间通信的过程，以及通过 ping 命令验证容器间的连通性。最后说明了配置全局或单个容器 DNS 设置的方法，包括修改宿主机配置文件和启动容器时...
docker容器网络(详细)
weixin_42917630的博客
02-24 289
一.网络模式 1.bridge:默认网络 docker启动后创建一个docker0的网桥，默认创建的容器也是添加到这个网桥中 例如： docker run -itd 镜像名 //默认使用bridge 2.host 容器不会获得一个独立的network namespace,而是与宿主机公用一个，这就意味着容器不会有自己的网卡信息 例如: docker run -itd --net=host...
docker网络
BWL1998的博客
06-27 1621
Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥（docker0），docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法直接通过Container-IP访问到容器，如果容器不希望外部
六、Docker容器的网络连接
q908544703的博客
08-08 4094
Docker容器的网络连接
【docker】容器内部的网络
weixin_43346403的博客
07-03 693
2.查看docker服务器的IP 地址。1.查看容器内部的IP地址。3.docker中的网络。
docker网络模式、数据卷及数据卷容器
wulei_123456789的博客
01-16 562
docker网络模式 host模式 host容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口范围。如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的 NetworkNamespace，而是和宿主机共用一个 Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。 使用host模式的容器可以直接使用宿主机的Ip地址与外界通信，容器内部的服务端口
Docker容器网络配置
灼烧的疯狂
11-26 967
docker容器网络配置
【Docker】网络
qq_53893431的博客
08-27 1244
Docker网络操作
docker 容器 网络
07-27
Docker 容器网络是指在 Docker 环境中，为容器提供网络通信的机制。Docker 提供了多种网络模式来满足不同的需求。 1. 默认桥接网络（bridge network）：这是 Docker 默认的网络模式。在这种模式下，Docker 容器会...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值