**Docker 入门到实践系列文章列表：** > [Docker 入门到实践 (一) docker 简介与安装](https://juejin.cn/post/7154437479955693598) > [Docker 入门到实践 (二) docker 常用命令讲解](https://juejin.cn/post/7154440096219922462) > [Docker 入门到实践 (三) Dockerfile 解析与镜像制作](https://juejin.cn/post/7154441046083141645) > [Docker 入门到实践 (四) docker 容器数据卷与数据卷容器](https://juejin.cn/post/7154444403888062472) > [Docker 入门到实践 (五) docker 数据的备份、恢复与迁移](https://juejin.cn/post/7154449475350560782) > [Docker 入门到实践 (六) docker 网络模式详解以及容器间的网络通信](https://juejin.cn/post/7154441859556147236) > [Docker 入门到实践 (七) docker 常用软件的安装](https://juejin.cn/post/7154449772315688974) > [Docker 入门到实践 (八) 本地镜像推送到阿里云和下载镜像到本地](https://juejin.cn/post/7154451571705643045) > [Docker 入门到实践 (九) docker 可视化界面 portainer 的安装与使用](https://juejin.cn/post/7154453417392340999) > [Docker 入门到实践 (十) IDEA 集成 Docker 构建容器镜像，部署项目](https://juejin.cn/post/7154453784796594207) > [Docker 入门到实践 (十一) docker 私有仓库的搭建与配置](https://juejin.cn/post/7154453122687959076) > [Docker 入门到实践 (十二) docker compose 简介与安装](https://juejin.cn/post/7154453645793165319) > [Docker 入门到实践 (十三) docker compose 配置文件与常用命令讲解](https://juejin.cn/post/7154451839964938254/) > [Docker 入门到实践 (十四) docker 企业级容器镜像仓库 HarBor 的搭建与配置](https://juejin.cn/post/7154455152345219108/) 一、前言 ---- 在[上一篇文章](https://juejin.cn/post/7154449475350560782)中已经介绍了 [docker](https://www.docker.com/) 数据的备份、恢复与迁移, 下面正式进入到 docker 网络模式详解以及容器间的网络通信。当项目大规模使用 Docker 时，容器通信的问题也就产生了。要解决容器通信问题，必须先了解很多关于网络的知识。Docker 作为目前最火的轻量级容器技术，有很多令人称道的功能，如 Docker 的镜像管理。然而，Docker 同样有着很多不完善的地方，网络方面就是 Docker 比较薄弱的部分。因此，我们有必要深入了解 Docker 的网络知识，以满足更高的网络需求。二、docker 网络模式介绍 --------------- ### 1、默认网络在安装完 Docker 以后，会默认创建三种网络，可以通过`docker network ls`命令查看 ``` [root@localhost ~]# docker network ls NETWORK ID NAME DRIVER SCOPE 03630b284778 bridge bridge local cd72d6f40b2e host host local 784bae94991c none null local ``` 在学习 Docker 网络之前，我们有必要先来了解一下这几种网络模式都是什么意思

网络模式	简介
bridge	为每一个容器分配、设置 IP 等，并将容器连接到一个`docker0`虚拟网桥，默认为该模式。
host	容器将不会虚拟出自己的网卡，配置自己的 IP 等，而是使用宿主机的 IP 和端口。
none	容器有独立的 Network namespace，但并没有对其进行任何网络设置，如分配 veth pair 和网桥连接，IP 等。
container	新创建的容器不会创建自己的网卡和配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。(`不属于默认网络，但在Kubernetes中会使用到`)

#### 1.1、bridge 网络模式在该模式中，Docker 守护进程创建了一个虚拟以太网桥 `docker0`，新建的容器会自动桥接到这个接口，附加在其上的任何网卡之间都能自动转发数据包。默认情况下，守护进程会创建一对对等虚拟设备接口 `veth pair`，将其中一个接口设置为容器的 `eth0` 接口（容器的网卡），另一个接口放置在宿主机的命名空间中，以类似 `vethxxx` 这样的名字命名，从而将宿主机上的所有容器都连接到这个内部网络上。关于 `bridge` 网络模式的使用，只需要在创建容器时通过参数 `--net bridge` 或者 `--network bridge` 指定即可，当然这也是创建容器默认使用的网络模式，也就是说这个参数是可以省略的。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/dc8014ffe50048b68b314297cb5513b8~tplv-k3u1fbpfcp-zoom-1.image) Bridge 桥接模式的实现步骤主要如下： * Docker Daemon 利用 veth pair 技术，在宿主机上创建一对对等虚拟网络接口设备，假设为 veth0 和 veth1。而 veth pair 技术的特性可以保证无论哪一个 veth 接收到网络报文，都会将报文传输给另一方。 * Docker Daemon 将 veth0 附加到 Docker Daemon 创建的 docker0 网桥上。保证宿主机的网络报文可以发往 veth0。 * Docker Daemon 将 veth1 添加到 Docker Container 所属的 namespace 下，并被改名为 eth0。如此一来，宿主机的网络报文若发往 veth0，则立即会被 Container 的 eth0 接收，实现宿主机到 Docker Container 网络的联通性；同时，也保证 Docker Container 单独使用 eth0，实现容器网络环境的隔离性。演示案例： 1、运行一个基于`busybox` 镜像构建的容器 `mybox`，并查看容器的`ip`地址信息 ``` docker run -it --name=mybox busybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/c7160e449b374abd99973049a7b9f670~tplv-k3u1fbpfcp-zoom-1.image) 可以看到`mybox`容器有一个`lo 本地回环地址` 和一个`4: eth0@if5`网卡 2、查看宿主机的`ip`地址信息 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/fae6515e1d3048f0bb45524e7ac393c5~tplv-k3u1fbpfcp-zoom-1.image) 可以看到宿主机有一个`lo 本地回环地址`、一个`ens32`网卡 (即：`eth0`)、一个`docker0`网桥和一个`5: vetha1025cd@if4`网卡。通过以上的比较可以发现，证实了之前所说的：守护进程会创建一对对等的虚拟设备接口 `veth pair`，将其中一个接口设置为容器的 `eth0` 接口（容器的网卡，即上图容器`mybox`的`4: eth0@if5`网卡），另一个接口放置在宿主机的命名空间中，以类似 `vethxxx` 这样的名字命名 (即：上图宿主机的`5: vetha1025cd@if4`网卡)。同时，守护进程还会从网桥 `docker0` 的私有地址空间中分配一个 `ip` 地址和子网给该容器，并设置 `docker0` 的 `ip` 地址为容器的默认网关。也可以安装 `yum install -y bridge-utils` 以后，通过 `brctl show` 命令查看网桥信息。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/17f6cf71fda14d21a7354a520070cf3c~tplv-k3u1fbpfcp-zoom-1.image) 对于每个容器的 `IP` 地址和 `Gateway` 信息，我们可以通过 `docker inspect 容器名称|ID` 进行查看，在 `NetworkSettings` 节点中可以看到详细信息。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/502a6d014c834b438f7971782bc57f7d~tplv-k3u1fbpfcp-zoom-1.image) 可以看到 `Gateway`网关地址为 `docker0` 的 `ip` 地址 `172.17.0.1`，容器的`ip`地址为`172.17.0.2` 我们还可以通过 `docker network inspect bridge` 查看所有 `bridge` 网络模式下的容器，在 `Containers` 节点中可以看到容器名称。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/e57ade457483432f930b2eb57346e369~tplv-k3u1fbpfcp-zoom-1.image) #### 1.2、host 网络模式 `host` 网络模式需要在创建容器时通过参数 `--net host` 或者 `--network host` 指定。采用 `host` 网络模式的 `Docker Container`，可以直接使用宿主机的 `ip` 地址与外界进行通信，若宿主机的 `eth0` 是一个公有 `ip`，那么容器也拥有这个公有 `ip`。同时容器内服务的端口也可以使用宿主机的端口，无需额外进行 `NAT` 转换。 `host` 网络模式可以让容器共享宿主机网络栈，这样的好处是外部主机与容器直接通信，但是容器的网络缺少隔离性。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/3a879f5b400545c1be5b4622884d5b07~tplv-k3u1fbpfcp-zoom-1.image) 演示案例： 1、运行一个基于`busybox` 镜像构建的容器 `hostbox`，并查看容器的 ip 地址信息 ``` docker run -it --name=hostbox --net host busybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/d2a6e899b00d4e67bac5abc70dd3863f~tplv-k3u1fbpfcp-zoom-1.image) 可以看到`hostbox`容器有一个`lo 本地回环地址`、一个`ens32`网卡 (即：`eth0`) 和一个`docker0`网桥 2、查看宿主机的 ip 地址信息 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/11a8ffd790b34620836d269076bb4b69~tplv-k3u1fbpfcp-zoom-1.image) 可以看到宿主机的`ip`地址信息跟上图的`hostbox`容器的`ip`地址信息是一模一样的我们还可以通过 `docker network inspect host` 查看所有 `host` 网络模式下的容器，在 `Containers` 节点中可以看到容器名称。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a7f1a6f8b164416b8ee78be0858d5859~tplv-k3u1fbpfcp-zoom-1.image) #### 1.3、none 网络模式 `none` 网络模式是指禁用网络功能，只有 `lo` 地址 (`local` 的简写)，代表 `127.0.0.1`，即 `localhost` 本地回环地址。在创建容器时通过参数 `--net none` 或者 `--network none` 指定。 `none` 网络模式即不为 `Docker Container` 创建任何的网络环境，容器内部就只能使用 `loopback` 网络设备，不会再有其他的网络资源。可以说 `none` 模式为 `Docke Container` 做了极少的网络设定，但是俗话说得好 “少即是多”，在没有网络配置的情况下，作为 `Docker` 开发者，才能在这基础做其他无限多可能的网络定制开发。这也恰巧体现了 `Docker` 设计理念的开放。演示案例：运行一个基于`busybox` 镜像构建的容器 `nonebox`，并查看容器的 ip 地址信息 ``` docker run -it --name=nonebox --net none busybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/36730da556f84726b44febbd229eb7e9~tplv-k3u1fbpfcp-zoom-1.image) 可以看到`nonebox`容器有一个`lo 本地回环地址` 我们还可以通过 `docker network inspect none` 查看所有 `none` 网络模式下的容器，在 `Containers` 节点中可以看到容器名称。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/950dcf791fba4cb487507a480ebca600~tplv-k3u1fbpfcp-zoom-1.image) #### 1.4、container 网络模式 `Container` 网络模式是 `Docker` 中一种较为特别的网络的模式。在创建容器时通过参数 `--net container:已运行的容器名称|ID` 或者 `--network container:已运行的容器名称|ID` 指定。处于这个模式下的 `Docker` 容器会共享一个网络栈，这样两个容器之间可以使用 `localhost` 高效快速通信。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/f75678cd02d249ea8528d69513d9ab8d~tplv-k3u1fbpfcp-zoom-1.image) **`Container` 网络模式即新创建的容器不会创建自己的网卡，配置自己的 `ip`，而是和一个指定的容器共享 `ip`、端口范围等。** 同样两个容器除了网络方面相同之外，其他的如文件系统、进程列表等还是隔离的。演示案例： 1、运行一个基于`bridge`网络模式的`mybox` 容器创建`container`网络模式的容器 `containerbox`，并查看容器的`ip`地址信息 ``` //启动原先的mybox容器 docker start mybox //运行containerbox容器 docker run -it --name=containerbox --net container:mybox busybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/1ce0206a0251468a8c168b29bd260220~tplv-k3u1fbpfcp-zoom-1.image) 可以看到`containerbox`容器有一个`lo 本地回环地址` 和一个`4: eth0@if5`网卡 2、查看`mybox` 容器的`ip`地址信息 ``` docker exec -it mybox ip addr ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/233638970d9e4660a92233cb09f9c0cb~tplv-k3u1fbpfcp-zoom-1.image) 可以看到`mybox` 容器的`ip`地址信息跟上图的`containerbox`容器的`ip`地址信息是一模一样的 3、查看宿主机的`ip`地址信息 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/84517e082e0e41fc80b73566264f7959~tplv-k3u1fbpfcp-zoom-1.image) 通过以上测试可以发现，`Docker` 守护进程只创建了一对对等虚拟设备接口用于连接 `mybox` 容器和宿主机，而`containerbox` 容器则直接使用了 `mybox` 容器的网卡信息。这个时候如果将`mybox`容器停止，会发现`containerbox` 容器就只剩下 `lo 本地回环地址`了 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/b167d7c04dd948dcb3e482848d78f641~tplv-k3u1fbpfcp-zoom-1.image) 如果`mybox`容器重启以后，`containerbox` 容器也重启一下，就又可以获取到网卡信息了 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/f3d1cb55affd4dc99e5bd1f378d8ecc2~tplv-k3u1fbpfcp-zoom-1.image) ### 2、自定义网络虽然 `Docker` 提供的默认网络使用比较简单，但是为了保证各容器中应用的安全性，在实际开发中更推荐使用自定义的网络进行容器管理，以及启用容器名称到 `ip` 地址的自动 `DNS` 解析。从 `Docker 1.10` 版本开始，`docker daemon` 实现了一个内嵌的 `DNS server`，使容器可以直接通过容器名称通信。方法很简单，只要在创建容器时使用 `--name` 为容器命名即可。但是使用 `Docker DNS` 有个限制：只能在 `user-defined` 网络中使用。也就是说，默认的 `bridge` 网络是无法使用 `DNS` 的，所以我们就需要自定义网络。 #### 2.1、创建网络 1、通过 `docker network create` 命令可以创建自定义网络模式，查看 `docker network create` 命令使用详情，发现可以通过 `-d` 或者 `--driver` 指定网络模式且默认是 `bridge` 网络模式，命令提示如下： ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/4fd9c2fdb45c42c2b68a129e36bea82e~tplv-k3u1fbpfcp-zoom-1.image) 2、创建一个基于 `bridge` 网络模式的自定义网络模式 `custom_network`，完整命令如下： ``` docker network create custom_network 或者 docker network create -d bridge custom_network ``` 3、通过 `docker network ls` 查看本地网络： ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/1ce31c26b3544adc9c7a0d79ccd67c65~tplv-k3u1fbpfcp-zoom-1.image) 4、通过自定义网络模式 `custom_network` 创建容器： ``` docker run -di --name=custombox --net custom_network busybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/7ceaa1dc44f846248974484d6ff277ef~tplv-k3u1fbpfcp-zoom-1.image) 5、可以通过 `docker inspect 容器名称|ID` 查看容器的网络信息，在 `NetworkSettings` 节点中可以看到详细信息 ``` docker inspect custombox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/f9034250541f483ca1e261a20f5505b6~tplv-k3u1fbpfcp-zoom-1.image) #### 2.2、连接网络 1、通过 `docker network connect 网络名称容器名称` 为容器连接新的网络模式，这里我们为`mybox`容器添加`custom_network`网络 ``` docker network connect custom_network mybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/0b4b8ce5ff5b442b906c064f76ca11f5~tplv-k3u1fbpfcp-zoom-1.image) 2、通过 `docker inspect 容器名称|ID` 查看容器的网络信息，可以看到`mybox`容器多增加了`custom_network`网络 ``` docker inspect mybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/a7406cc4af2d47b19d8e4c2fd502c75e~tplv-k3u1fbpfcp-zoom-1.image) #### 2.3、断开网络 1、通过 `docker network disconnect 网络名称容器名称` 命令断开网络 ``` docker network disconnect custom_network mybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/fa8629f643d74fb59159e7a41981440e~tplv-k3u1fbpfcp-zoom-1.image) 2、通过 `docker inspect 容器名称|ID` 再次查看容器的网络信息，发现只剩下默认的 `bridge`网络了 ``` docker inspect mybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/2c5c0d379059467582776daaaedbb69d~tplv-k3u1fbpfcp-zoom-1.image) #### 2.4、移除网络可以通过 `docker network rm 网络名称` 命令移除`自定义`的网络，网络移除成功则会返回自定义的网络名称 ``` docker network rm custom_network ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/59a3bbbc38994c1682c26a0454508f07~tplv-k3u1fbpfcp-zoom-1.image) `提示`：如果某个自定义网络模式被创建的容器使用了，则该网络模式无法被删除。 ### 3、容器间的网络通信接下来我们通过所学的知识实现容器间的网络通信。首先明确一点，容器之间要想互相通信，必须要有属于同一个网络的网卡。 1、我们先创建两个基于默认的 `bridge` 网络模式的容器 ``` docker run -di --name=box busybox docker run -di --name=otherbox busybox ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/7c8c7ee91ecb4437b76f951d2d0d9f90~tplv-k3u1fbpfcp-zoom-1.image) 2、通过 `docker network inspect bridge` 查看两容器的具体 `ip` 信息 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/6012daf8af7d400c9122ba69ac353c46~tplv-k3u1fbpfcp-zoom-1.image) 可以看到容器`box`的 ip 地址为`172.17.0.3`，容器`otherbox`的`ip`地址为`172.17.0.4` 3、然后测试两容器间是否可以进行网络通信 ``` //容器box ping 容器otherbox docker exec -it box ping -c3 172.17.0.4 //容器otherbox ping 容器box docker exec -it otherbox ping -c3 172.17.0.3 ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/4848dfeb59634e579843fae452ac406e~tplv-k3u1fbpfcp-zoom-1.image) 经过测试，从结果得知两个属于同一个网络的容器是可以互相进行网络通信的，但是由于容器经常会被删除和创建，其 IP 地址经常会发生变化，是不固定的。那容器内所有通信的 IP 地址也需要进行更改，那么能否使用固定的容器名称进行网络通信呢？我们接着继续测试 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/e084de4a1fb5449488abd28d9ce41e77~tplv-k3u1fbpfcp-zoom-1.image) 经过测试，从结果得知使用容器名称进行网络通信是不行的，那怎么实现这个功能呢？前面说过，从 `Docker 1.10` 版本开始，`docker daemon` 实现了一个内嵌的 `DNS server`，使容器可以直接通过容器名称通信。方法很简单，只要在创建容器时使用 `--name` 为容器命名即可。但是使用 `Docker DNS` 有个限制：只能在 `user-defined` 网络中使用。也就是说，默认的 `bridge` 网络是无法使用 `DNS` 的，所以我们就需要自定义网络。 4、我们先基于 `bridge` 网络模式创建自定义网络 `custom_network`，然后创建两个基于`custom_network`自定义网络模式的容器 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/006677988a7e42029879806c56180ff8~tplv-k3u1fbpfcp-zoom-1.image) 5、通过 `docker network inspect custom_network` 查看两容器的具体 `ip` 信息 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/1dda7eb3cca34e7cad0697baf5200b99~tplv-k3u1fbpfcp-zoom-1.image) 6、然后测试两容器间是否可以通过网络名称进行网络通信，分别使用具体 `ip` 和容器名称进行网络通信 ``` //通过容器ip地址，容器custombox1 ping 容器custombox2 docker exec -it custombox1 ping -c3 172.19.0.3 //通过容器名称，容器custombox1 ping 容器custombox2 docker exec -it custombox1 ping -c3 custombox2 ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/d1e2e4688e0043bcb73df66edbe1eec2~tplv-k3u1fbpfcp-zoom-1.image) 经过测试，从结果得知两个属于同一个自定义网络的容器是可以进行网络通信的，并且可以使用容器名称进行网络通信。那如果此时我希望 `bridge` 网络下的容器也可以和 `custom_network` 网络下的容器进行网络又该如何操作？其实答案也非常简单：给 `bridge` 网络下的容器再添加一个新的 `custom_network` 网络即可。 ``` //为容器box添加custom_network网络 docker network connect custom_network box //容器custombox1 ping 容器box docker exec -it custombox1 ping -c3 box //容器box ping 容器custombox1 docker exec -it box ping -c3 custombox1 ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/b1cb61734e984915ada49410a01d7b7d~tplv-k3u1fbpfcp-zoom-1.image) > 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码，原文地址 [blog.csdn.net](https://blog.csdn.net/qq_39135287/article/details/114136576)