docker容器虚拟化

docker容器虚拟化

1. 虚拟化网络：网络通信的物理设备到网卡都是用纯软件的方式来实现

• 网络名称空间（Network Namespace ） 是 Linux 内核提供的功能，是实现网络虚拟化的重要功能，

• 它能创建多个隔离的网络空间，每个容器和虚拟机有独自的ip地址 。

• 不管是虚拟机还是容器，运行的时候仿佛自己都在独立的网络中。而且不同网络名称空间的资源相互不可见，彼此之间无法通信。

• 

• 一个名称空间使用一个网卡，其它名称空间都是看不见当前所在名称空间的，因为一个设备只能属于一个名称空间。网卡数量不够

• 每个名称空间使用一个网卡，每一个名称空间都能配置IP地址，并且与外部网络直接通信，因为它们使用的是物理网卡。

• 所拥有的名称空间数量超过物理网卡数量，可以使用虚拟网卡设备，用纯软件的方式来模拟一组设备来使用。Linux内核级支持2种级别设备的模拟，一种是二层设备（数据链路层，交换机），一种是三层设备（网络层，路由器）。

• Linux内核模拟的二层设备，每个网络接口设备是成对出现的，可以模拟为一根网线的两端，其中一端模拟主机的虚拟网卡，另一端模拟虚拟交换机，就相当于让一个主机连到一个交换机上去。Linux内核原生支持二层虚拟网桥设备，即用软件虚拟交换机的功能

• 

• 再有一个名称空间，它有创建了一对虚拟网卡，一端连接名称空间，一端连接虚拟交换机，此时就相当于两个名称空间连接到了同一个交换机网络中，两个名称空间在一个网段上可以互相通信

• 

2. 单节点容器间同信

• 同一个物理机上的两个容器想通信，在这台主机上建立一个虚拟交换机，而后让两个容器各自用纯软件的方式创建一对虚拟网卡，一半在容器上，一半在虚拟交换机上，从而实现通信

• 

• 构建的容器要跨交换机通信，在同一网段

• 

• 通过名称空间创建一对网卡，一端连SW1，另一端连SW2，这样一来两个交换机就连起来了

• 在不同网段
  -

• 在两台交换机之间加一个路由器，Linux内核本身就是支持路由转发的，只需要我们将路由转发功能打开即可。此时我们可以再启动一个容器，这个容器里面就跑一个内核，并将其转发功能打开，这样一来就模拟了一台路由器，通过这台路由器来实现路由转发。

• R1这边有4个端口

• ip转发功能
  [root@SYL4 ~]# ls /proc/sys/net/ipv4/ip_forward
  /proc/sys/net/ipv4/ip_forward
  [root@SYL4 ~]# cat /proc/sys/net/ipv4/ip_forward   //ip转发功能
  1
  [root@SYL4 ~]# 
  

3. 不同节点容器间通信

• 

• 使用NAT技术。C1访问到目标是C5,C1将自己的ip转换成主机1的ip，然后将主机1封装传到主机2（在同一网段），然后主机2拆包知道找C5，然后发给他，反之亦然。

• SNAT：（Source nat ） 源nat，用于局域网和多个公共IP的情况，内部的服务器出外网的时候,将自己的转换成公网ip，只转换源IP

• DNAT：（Destination nat ）目的nat，用于局域网中设置外部服务（Web服务）。公共IP可以提供端口号服务，公网访问专网时源地址不变，只转换目的IP，公网能找到内部网

• nat：网络地址转换

• C1和C5采用桥接的方式，容易会产生广播风暴（无效的信息），在大规模的虚拟机或容器的场景中，使用桥接的方式无疑是自取灭亡

• 

• Overlay Network（叠加网络）的技术来实现不同节点间容器的相互通信功能。

• 主机1桥接到虚拟交换机在通过内部ip转发（/proc/sys/net/ipv4/ip_forward ）到外部进行通信

• C1访问C2，C1是内部网络，不能出去，用内部ip转发功能到以主机1的身份，然后用主机1访问到主机2，主机2拆包发现是C2,然后发给他。

• 叠加网络会将报文进行隧道转发，在报文发出去之前要为其添加一个IP首部，1.1是源，1.2是目标，当宿主机2收到报文后解封装发现要找的目标容器是C2，于是把包转发给C2。

前要为其添加一个IP首部，1.1是源，1.2是目标，当宿主机2收到报文后解封装发现要找的目标容器是C2，于是把包转发给C2。

• C2回应C1，源是1.2，目标是1.1