容器访问外部世界

在我们当前的实验环境下，docker host 是可以访问外网的。

我们看一下容器是否也能访问外网呢？

可见，容器默认就能访问外网。

请注意：这里外网指的是容器网络以外的网络环境，并非特指 internet。

现象很简单，但更重要的：我们应该理解现象下的本质。

在上面的例子中，busybox 位于 docker0 这个私有 bridge 网络中（172.17.0.0/16），当 busybox 从容器向外 ping 时，数据包是怎样到达 bing.com 的呢？

这里的关键就是 NAT。我们查看一下 docker host 上的 iptables 规则：

在 NAT 表中，有这么一条规则：

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

其含义是：如果网桥 docker0 收到来自 172.17.0.0/16 网段的外出包，把它交给 MASQUERADE 处理。而 MASQUERADE 的处理方式是将包的源地址替换成 host 的地址发送出去，即做了一次网络地址转换（NAT）。

下面我们通过 tcpdump 查看地址是如何转换的。先查看 docker host 的路由表：

默认路由通过 enp0s3 发出去，所以我们要同时监控 enp0s3 和 docker0 上的 icmp（ping）数据包。

当 busybox ping bing.com 时，tcpdump 输出如下：

docker0 收到 busybox 的 ping 包，源地址为容器 IP 172.17.0.2，这没问题，交给 MASQUERADE 处理。这时，在 enp0s3 上我们看到了变化：

ping 包的源地址变成了 enp0s3 的 IP 10.0.2.15

这就是 iptable NAT 规则处理的结果，从而保证数据包能够到达外网。下面用一张图来说明这个过程：

busybox 发送 ping 包：172.17.0.2 > www.bing.com。
docker0 收到包，发现是发送到外网的，交给 NAT 处理。
NAT 将源地址换成 enp0s3 的 IP：10.0.2.15 > www.bing.com。
ping 包从 enp0s3 发送出去，到达 www.bing.com。

通过 NAT，docker 实现了容器对外网的访问。

下一节我们讨论另一个方向的流量：外部世界如何访问容器。

转载于:https://my.oschina.net/u/2397560/blog/1137720

容器如何访问外部世界？- 每天5分钟玩转 Docker 容器技术（36）相关推荐

外网如何访问 Service？- 每天5分钟玩转 Docker 容器技术（139）
除了 Cluster 内部可以访问 Service,很多情况我们也希望应用的 Service 能够暴露给 Cluster 外部.Kubernetes 提供了多种类型的 Service,默认是 Clus ...
如何访问 Service？- 每天5分钟玩转 Docker 容器技术（99）
前面我们已经学习了如何部署 service,也验证了 swarm 的 failover 特性.不过截止到现在,有一个重要问题还没有涉及:如何访问 service?这就是本节要讨论的问题. 为了便于分析 ...
学容器必须懂 bridge 网络 - 每天5分钟玩转 Docker 容器技术（32）
上一节我们讨论了 none 和 host 类型的容器网络,本节学习应用最广泛也是默认的 bridge 网络. Docker 安装时会创建一个命名为 docker0 的 linux bridge.如果 ...
DNS 访问 Service - 每天5分钟玩转 Docker 容器技术（138）
在 Cluster 中,除了可以通过 Cluster IP 访问 Service,Kubernetes 还提供了更为方便的 DNS 访问. kubeadm 部署时会默认安装 kube-dns 组件. ...
每天5分钟玩转kubernetes_DNS 访问 Service 每天5分钟玩转 Docker 容器技术（138）
第138篇 DNS 访问 Service 在 Cluster 中,除了可以通过 Cluster IP 访问 Service,Kubernetes 还提供了更为方便的 DNS 访问. kubeadm 部 ...
通过 Service 访问 Pod - 每天5分钟玩转 Docker 容器技术（136）
本节开始学习 Service. 我们不应该期望 Kubernetes Pod 是健壮的,而是要假设 Pod 中的容器很可能因为各种原因发生故障而死掉.Deployment 等 controller 会 ...
外部 Storage Provider - 每天5分钟玩转 Docker 容器技术（149）
如果 Kubernetes 部署在诸如 AWS.GCE.Azure 等公有云上,可以直接使用云硬盘作为 Volume,下面是 AWS Elastic Block Store 的例子: 要在 Pod 中 ...
网络模型 - 每天5分钟玩转 Docker 容器技术（169）
本节我们讨论 Kubernetes 网络这个重要主题. Kubernetes 作为编排引擎管理着分布在不同节点上的容器和 Pod.Pod.Service.外部组件之间需要一种可靠的方式找到彼此并进行通 ...
k8s 重要概念 - 每天5分钟玩转 Docker 容器技术（117）
在实践之前,必须先学习 Kubernetes 的几个重要概念,它们是组成 Kubernetes 集群的基石. Cluster Cluster 是计算.存储和网络资源的集合,Kubernetes 利用 ...
Swarm 如何存储数据？- 每天5分钟玩转 Docker 容器技术（103）
service 的容器副本会 scale up/down,会 failover,会在不同的主机上创建和销毁,这就引出一个问题,如果 service 有要管理的数据,那么这些数据应该如何存放呢? 选项一 ...

容器如何访问外部世界？- 每天5分钟玩转 Docker 容器技术（36）

容器访问外部世界

容器如何访问外部世界？- 每天5分钟玩转 Docker 容器技术（36）相关推荐

最新文章

热门文章