Docker容器网络实例管理

Linux内核实现名称空间的创建

ip netns命令

可以借助ip netns命令来完成对 Network Namespace 的各种操作。ip netns命令来自于iproute安装包，一般系统会默认安装，如果没有的话，请自行安装。

注意：ip netns命令修改网络配置时需要 sudo 权限。

可以通过ip netns命令完成对Network Namespace 的相关操作，可以通过ip netns help查看命令帮助信息：

[root@yj ~]# ip netns help
Usage:  ip netns listip netns add NAMEip netns attach NAME PIDip netns set NAME NETNSIDip [-all] netns delete [NAME]ip netns identify [PID]ip netns pids NAMEip [-all] netns exec [NAME] cmd ...ip netns monitorip netns list-id [target-nsid POSITIVE-INT] [nsid POSITIVE-INT]
NETNSID := auto | POSITIVE-INT

默认情况下，Linux系统中是没有任何 Network Namespace的，所以ip netns list命令不会返回任何信息。

创建Network Namespace

通过命令创建一个名为ns0的命名空间：

[root@yj ~]# ip netns add ns0
[root@yj ~]# ip netns list
ns0

新创建的 Network Namespace 会出现在/var/run/netns/目录下。如果相同名字的 namespace 已经存在，命令会报Cannot create namespace file “/var/run/netns/ns0”: File exists的错误。

[root@yj ~]# ls /var/run/netns/
ns0
[root@yj ~]# ip netns add ns0
Cannot create namespace file "/var/run/netns/ns0": File exists

对于每个 Network Namespace 来说，它会有自己独立的网卡、路由表、ARP 表、iptables 等和网络相关的资源。

操作Network Namespace

ip命令提供了ip netns exec子命令可以在对应的 Network Namespace 中执行命令。

查看新创建 Network Namespace 的网卡信息

[root@yj ~]# ip netns exec ns0 ip addr
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00    //I0网卡

可以看到，新创建的Network Namespace中会默认创建一个lo回环网卡，此时网卡处于关闭状态。此时，尝试去 ping 该lo回环网卡，会提示Network is unreachable

[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
connect: Network is unreachable

使用exec命令启用lo回环网卡：

[root@localhost ~]# ip netns exec ns0 ip link set lo up    //exec启动 并接上link链接参数连接Io接口
[root@localhost ~]# ip netns exec ns0 ping 127.0.0.1
PING 127.0.0.1 (127.0.0.1) 56(84) bytes of data.
64 bytes from 127.0.0.1: icmp_seq=1 ttl=64 time=0.047 ms
64 bytes from 127.0.0.1: icmp_seq=2 ttl=64 time=0.073 ms

转移设备

我们可以在不同的 Network Namespace 之间转移设备（如veth）。由于一个设备只能属于一个 Network Namespace ，所以转移后在这个 Network Namespace 内就看不到这个设备了。（MV 移动）

其中，veth设备属于可转移设备，而很多其它设备（如lo、vxlan、ppp、bridge等）是不可以转移的。

veth pair

veth pair 全称是 Virtual Ethernet Pair，是一个成对的端口，所有从这对端口一端进入的数据包都将从另一端出来，反之也是一样。
引入veth pair是为了在不同的 Network Namespace 直接进行通信，利用它可以直接将两个 Network Namespace 连接起来。

创建veth pair

[root@localhost ~]# ip link add type veth
[root@localhost ~]# ip a
14: veth0@veth1: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
15: veth1@veth0: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000

可以看到，此时系统中新增了一对veth pair，将veth0和veth1两个虚拟网卡连接了起来，此时这对 veth pair 处于”未启用“状态。

实现Network Namespace间通信

下面我们利用veth pair实现两个不同的 Network Namespace 之间的通信。刚才我们已经创建了一个名为ns0的 Network Namespace，下面再创建一个信息Network Namespace，命名为ns1

[root@yj ~]# ip netns add ns1
[root@yj ~]# ip netns list
ns1
ns0

然后我们将veth0加入到ns0，将veth1加入到ns1

[root@localhost ~]# ip link set veth0 netns ns0
[root@localhost ~]# ip link set veth1 netns ns1
然后我们分别为这对veth pair配置上ip地址，并启用它们[root@yj ~]# ip link set veth0 netns ns0
[root@yj ~]# ip link set veth1 netns ns1
[root@yj ~]# ip netns exec ns0 ip link set veth0 up
[root@yj ~]# ip netns exec ns0 ip addr add 10.0.0.1/24 dev veth0
[root@yj ~]# ip netns exec ns1 ip link set lo up
[root@yj ~]# ip netns exec ns1 ip link set veth1 up
[root@yj ~]# ip netns exec ns1 ip addr add 10.0.0.2/24 dev veth1

查看这对veth pair的状态

[root@yj ~]# ip netns exec  ns0  ip a
14: veth0@if15: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000link/ether 36:b6:20:1b:30:54 brd ff:ff:ff:ff:ff:ff link-netns ns1inet 10.0.0.1/24 scope global veth0valid_lft forever preferred_lft foreverinet6 fe80::34b6:20ff:fe1b:3054/64 scope link valid_lft forever preferred_lft forever[root@yj ~]# ip netns exec  ns1  ip a
15: veth1@if14: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000link/ether 62:56:d7:6c:df:df brd ff:ff:ff:ff:ff:ff link-netns ns0inet 10.0.0.2/24 scope global veth1valid_lft forever preferred_lft foreverinet6 fe80::6056:d7ff:fe6c:dfdf/64 scope link valid_lft forever preferred_lft forever

从上面可以看出，我们已经成功启用了这个veth pair，并为每个veth设备分配了对应的ip地址。我们尝试在ns1中访问ns0中的ip地址：

[root@yj ~]# ip netns exec ns1 ping 10.0.0.1
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=0.113 ms
64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=0.077 ms
64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=0.076 ms

可以看到，veth pair成功实现了两个不同Network Namespace之间的网络交互。

veth设备重命名

[root@localhost ~]# ip netns exec ns0 ip link set veth0 down
[root@localhost ~]# ip netns exec ns0 ip link set dev veth0 name eth0      //关联网卡并重命名
[root@yj ~]# ip netns exec ns0 ifconfig -a
eth0: flags=4098<BROADCAST,MULTICAST>  mtu 1500inet 10.0.0.1  netmask 255.255.255.0  broadcast 0.0.0.0ether 36:b6:20:1b:30:54  txqueuelen 1000  (Ethernet)RX packets 18  bytes 1384 (1.3 KiB)RX errors 0  dropped 0  overruns 0  frame 0TX packets 18  bytes 1384 (1.3 KiB)TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
[root@localhost ~]# ip netns exec ns0 ip link set eth0 up          //启动

四种网络模式配置

网络模式配置说明
host --network host 容器和宿主机共享Network namespace
container --network container:NAME_OR_ID 容器和另外一个容器共享Network namespace
none --network none 容器有独立的Network namespace，
但并没有对其进行任何网络设置，
如分配veth pair 和网桥连接，配置IP等
bridge --network bridge 默认模式

bridge模式配置

桥接模式
当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。

宿主机的docker0网卡是随着容器的生成而产生

[root@yj ~]# brctl show
bridge name bridge id       STP enabled interfaces
br-66432df1b0db     8000.0242006d4132   no
docker0     8000.0242b4e8d66d   no      veth7d4cd55vethf4a098e               //宿主机产生的

bridge模式是docker的默认网络模式，不写–network参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。

//进入容器中
[root@yj ~]# docker run -it --name h1 busybox
/ # ip a
39: **eth0@if40**: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue link/ether 02:42:c0:a8:0d:02 brd ff:ff:ff:ff:ff:ffinet 192.168.13.2/24 brd 192.168.13.255 scope global eth0valid_lft forever preferred_lft forever//宿主机上
例子
[root@yj ~]# ip a**veth7d4cd55@if39**: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP group default link/ether 56:20:fd:5e:2e:32 brd ff:ff:ff:ff:ff:ff link-netnsid 1inet6 fe80::5420:fdff:fe5e:2e32/64 scope link valid_lft forever preferred_lft forever
两之间通过网卡相互连接[root@yj ~]# docker images
REPOSITORY   TAG       IMAGE ID       CREATED        SIZE
busybox      latest    beae173ccac6   7 months ago   1.24MB
[root@yj ~]# docker run -it --name l1 --rm busybox
/ # ifconfig
eth0      Link encap:Ethernet  HWaddr 02:42:AC:11:00:02  inet addr:172.17.0.2  Bcast:172.17.255.255  Mask:255.255.0.0UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:6 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0 RX bytes:516 (516.0 B)  TX bytes:0 (0.0 B)lo        Link encap:Local Loopback  inet addr:127.0.0.1  Mask:255.0.0.0UP LOOPBACK RUNNING  MTU:65536  Metric:1RX packets:0 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:1000 RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
[root@localhost ~]# docker container ls -a

//在创建容器时添加–network bridge与不加–network选项效果是一致的,因为bridge模式是docker的默认网络模式

[root@yj ~]# docker run -it --name l2 --network bridge --rm busybox
/ # ifconfig
eth0      Link encap:Ethernet  HWaddr 02:42:AC:11:00:02  inet addr:172.17.0.2  Bcast:172.17.255.255  Mask:255.255.0.0UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:6 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0 RX bytes:516 (516.0 B)  TX bytes:0 (0.0 B)lo        Link encap:Local Loopback  inet addr:127.0.0.1  Mask:255.0.0.0UP LOOPBACK RUNNING  MTU:65536  Metric:1RX packets:0 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:1000 RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
/ # ctrl+p  加ctrl+q      //退出并不停止服务

假设上图的docker2中运行了一个nginx，大家来想几个问题：

同主机间两个容器间是否可以直接通信？比如在docker1上能不能直接访问到docker2的nginx站点？
在宿主机上能否直接访问到docker2的nginx站点？
在另一台主机上如何访问node1上的这个nginx站点呢？DNAT发布？

//实验
[root@localhost ~]# docker pull centos
Using default tag: latest
latest: Pulling from library/centos
a1d0c7532777: Pull complete
Digest: sha256:a27fd8080b517143cbbbab9dfb7c8571c40d67d534bbdee55bd6c473f432b177
Status: Downloaded newer image for centos:latest
docker.io/library/centos:latest
[root@localhost ~]# docker ps -a
CONTAINER ID   IMAGE     COMMAND   CREATED   STATUS    PORTS     NAMES
[root@localhost ~]# docker images
REPOSITORY   TAG       IMAGE ID       CREATED         SIZE
httpd        latest    f2a976f932ec   7 days ago      145MB
centos       latest    5d0da3dc9764   10 months ago   231MB
[root@localhost ~]# docker run -d -it --name web centos
7c00c03b71a8363f4102227351855af583eff3936c5389186608fb505b625a78
[root@localhost ~]# docker run -d -it --name web1 centos
700803e584e4514a49457096de4dc032d4621327fc6df3a4cf3d86407cd9ee4d
//web
[root@localhost ~]# docker exec -it web /bin/bash
[root@7c00c03b71a8 /]# ip a
8: eth0@if9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff link-netnsid 0inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0valid_lft forever preferred_lft forever
//web
[root@localhost ~]# docker exec -it web1 /bin/bash
[root@700803e584e4 /]# ip a
10: eth0@if11: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default link/ether 02:42:ac:11:00:03 brd ff:ff:ff:ff:ff:ff link-netnsid 0inet 172.17.0.3/16 brd 172.17.255.255 scope global eth0valid_lft forever preferred_lft forever
[root@700803e584e4 /]# ping 127.17.0.3
PING 127.17.0.3 (127.17.0.3) 56(84) bytes of data.
64 bytes from 127.17.0.3: icmp_seq=1 ttl=64 time=0.062 ms
64 bytes from 127.17.0.3: icmp_seq=2 ttl=64 time=0.059 ms
^Z
[1]+  Stopped                 ping 127.17.0.3

可见这里两台容器可以ping通证明桥接模式成功

Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

使用-p将容器创建的80端口印射到主机的8080端口

[root@localhost ~]# docker run -dit --name hh -p 8080:80 centos
2a406acf07491894d81f3f7cbd112a5ef001cfc765764e64f3dfa8a4d96ed9eb
[root@localhost ~]# docker ps
CONTAINER ID   IMAGE     COMMAND       CREATED         STATUS         PORTS                                   NAMES
2a406acf0749   centos    "/bin/bash"   7 seconds ago   Up 5 seconds   0.0.0.0:8080->80/tcp, :::8080->80/tcp   hh
[root@localhost ~]# docker port hh
80/tcp -> 0.0.0.0:8080
80/tcp -> :::8080
[root@localhost ~]# ss -antl
State   Recv-Q  Send-Q     Local Address:Port     Peer Address:Port  Process
LISTEN  0       128              0.0.0.0:22            0.0.0.0:*
LISTEN  0       128              0.0.0.0:8080          0.0.0.0:*

而使用-P的话是随机分配一个端口

[root@localhost ~]# docker run -dit --name vv -P httpd
6c174c20a03bdb045404ebdaa0e2cedb15fbcd1ae53139193da827ed31fafcf8
[root@localhost ~]# docker ps -a
CONTAINER ID   IMAGE     COMMAND              CREATED              STATUS              PORTS                                     NAMES
6c174c20a03b   httpd     "httpd-foreground"   About a minute ago   Up About a minute   0.0.0.0:49173->80/tcp, :::49153->80/tcp   vv
0c20b497ddb3   httpd     "httpd-foreground"   5 minutes ago        Created                                                       gg
[root@localhost ~]# docker port vv
80/tcp -> 0.0.0.0:49173
80/tcp -> :::49153
[root@localhost ~]# ss -antl
State   Recv-Q  Send-Q    Local Address:Port      Peer Address:Port  Process
LISTEN  0       128             0.0.0.0:49173          0.0.0.0:*
LISTEN  0       128             0.0.0.0:22             0.0.0.0:*
LISTEN  0       128                [::]:22                [::]:*
LISTEN  0       128                [::]:49153             [::]:*

none模式配置

none模式如下图所示：

/bin/bash
只是一个终端命令，做不了什么

//这里只有单独的一个lo环回口
单独做为一个内部通信
[root@localhost ~]# docker run -it --name t1 --network none --rm busybox
/ # ifconfig -a
lo        Link encap:Local Loopback  inet addr:127.0.0.1  Mask:255.0.0.0UP LOOPBACK RUNNING  MTU:65536  Metric:1RX packets:0 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:1000 RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)/ # exit

container模式配置

启动第一个容器```
[root@yj ~]# docker run -it --name l4 --rm busybox
/ # ifconfig
eth0      Link encap:Ethernet  HWaddr 02:42:AC:11:00:03  inet addr:172.17.0.3  Bcast:172.17.255.255  Mask:255.255.0.0UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:6 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0 RX bytes:516 (516.0 B)  TX bytes:0 (0.0 B)
启动第二个容器[root@yj ~]# docker run -it --name l5 --rm busybox
/ # ifconfig
eth0      Link encap:Ethernet  HWaddr 02:42:AC:11:00:04  inet addr:172.17.0.4  Bcast:172.17.255.255  Mask:255.255.0.0UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:6 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0 RX bytes:516 (516.0 B)  TX bytes:0 (0.0 B)

可以看到名为b2的容器IP地址是10.0.0.3，与第一个容器的IP地址不是一样的，也就是说并没有共享网络，此时如果我们将第二个容器的启动方式改变一下，就可以使名为b2的容器IP与B1容器IP一致，也即共享IP，但不共享文件系统。

//进行关联绑定
[root@yj ~]# docker run -it --name l5 --rm --network container:l4 busybox
/ # ifconfig
eth0      Link encap:Ethernet  HWaddr 02:42:AC:11:00:03  inet addr:172.17.0.3  Bcast:172.17.255.255  Mask:255.255.0.0UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:12 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0 RX bytes:936 (936.0 B)  TX bytes:0 (0.0 B)//最好不要使用exit方式退出

此时我们在b1容器上创建一个目录

[root@yj ~]# docker exec -it l4 sh
/ # mkdir /tmp/data
/ # ls tmp/
data
[root@yj ~]# docker exec -it l5 sh
/ # ls tmp/
/ #

到b2容器上检查/tmp目录会发现并没有这个目录，因为文件系统是处于隔离状态，仅仅是共享了网络而已。

在b2容器上部署一个站点

/ # echo '666' > /tmp/index.html
/ # ls /tmp/
data        index.html
/ # httpd -h /tmp/
/ # netstat -antl          //查看信息
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 :::80                   :::*       //这里通过httpd共享生成临时的80端口             LISTEN

在b1容器上用本地地址去访问此站点

/ # wget -O - -q 127.17.0.3       由于基于containerip相同可直接共享目录
666          这里成功共享到l4容器的index.html内容

由此可见，container模式下的容器间关系就相当于一台主机上的两个不同进程

host模式配置

启动容器时直接指明模式为host

[root@yj ~]# docker run -it --name lty1 --rm --network host busybox
/ # ifconfig
ens32     Link encap:Ethernet  HWaddr 00:0C:29:5A:68:D1  inet addr:192.168.47.137  Bcast:192.168.47.255  Mask:255.255.255.0inet6 addr: fe80::20c:29ff:fe5a:68d1/64 Scope:LinkUP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:117599 errors:0 dropped:0 overruns:0 frame:0TX packets:26581 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:1000 RX bytes:147923841 (141.0 MiB)  TX bytes:5388817 (5.1 MiB)lo        Link encap:Local Loopback  inet addr:127.0.0.1  Mask:255.0.0.0inet6 addr: ::1/128 Scope:HostUP LOOPBACK RUNNING  MTU:65536  Metric:1RX packets:28 errors:0 dropped:0 overruns:0 frame:0TX packets:28 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:1000 RX bytes:2118 (2.0 KiB)  TX bytes:2118 (2.0 KiB)veth940df2c Link encap:Ethernet  HWaddr 8E:C6:72:0F:81:1B  inet6 addr: fe80::8cc6:72ff:fe0f:811b/64 Scope:LinkUP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:0 errors:0 dropped:0 overruns:0 frame:0TX packets:15 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0 RX bytes:0 (0.0 B)  TX bytes:1146 (1.1 KiB)vethe756669 Link encap:Ethernet  HWaddr 1A:AC:09:6B:19:15  inet6 addr: fe80::18ac:9ff:fe6b:1915/64 Scope:LinkUP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:0 errors:0 dropped:0 overruns:0 frame:0TX packets:15 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0 RX bytes:0 (0.0 B)  TX bytes:1146 (1.1 KiB)

此时如果我们在这个容器中启动一个http站点，我们就可以直接用宿主机的IP直接在浏览器中访问这个容器中的站点了。

容器的常用操作

查看容器的主机名

[root@yj ~]# docker run -it --name h1 --network bridge --rm busybox
/ # hostname
85c361e25097

在容器启动时注入主机名

[root@yj ~]# docker run -it --name h1 --network bridge --hostname lty --rm busybox
/ # hostname
lty
/ # cat /etc/hosts
127.0.0.1   localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
172.17.0.2  lty
/ # cat /etc/resolv.conf
# Generated by NetworkManager
nameserver 192.168.47.2
/ # ping www.baidu.com
PING www.baidu.com (14.215.177.39): 56 data bytes
64 bytes from 14.215.177.39: seq=0 ttl=127 time=43.930 ms
64 bytes from 14.215.177.39: seq=1 ttl=127 time=65.655 ms

手动指定容器要使用的DNS

[root@yj ~]# docker run -it --name t1 --network bridge --hostname lty --dns 114.114.114.114 --rm busybox
/ # cat /etc/resolv.conf
nameserver 114.114.114.114
/ # nslookup -type=a www.baidu.com
Server:     114.114.114.114
Address:    114.114.114.114:53Non-authoritative answer:
Name:   www.baidu.com
Address: 14.215.177.39
Name:   www.baidu.com
Address: 14.215.177.38

手动往/etc/hosts文件中注入主机名到IP地址的映射

[root@yj ~]# docker run -it --name t1 --network bridge --hostname lty --add-host www.baidu.com:1.1.1.1 --rm busybox
/ # cat /etc/hosts
127.0.0.1   localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
1.1.1.1 www.baidu.com
172.17.0.2  lty

开放容器端口

执行docker run的时候有个-p选项，可以将容器中的应用端口映射到宿主机中，从而实现让外部主机可以通过访问宿主机的某端口来访问容器内应用的目的。

-p选项能够使用多次，其所能够暴露的端口必须是容器确实在监听的端口。

-p选项的使用格式：

-p
将指定的容器端口映射至主机所有地址的一个动态端口
-p :
将容器端口映射至指定的主机端口
-p ::
将指定的容器端口映射至主机指定的动态端口
-p ::
将指定的容器端口映射至主机指定的端口

动态端口指的是随机端口，具体的映射结果可使用docker port命令查看。

[root@yj ~]# docker images
REPOSITORY   TAG       IMAGE ID       CREATED        SIZE
busybox      latest    beae173ccac6   7 months ago   1.24MB
nginx        latest    605c77e624dd   7 months ago   141MB
[root@yj ~]# docker run -it --name nginx1 --rm -p 80 nginx
/docker-entrypoint.sh: /docker-entrypoint.d/ is not empty, will attempt to perform configuration
/docker-entrypoint.sh: Looking for shell scripts in /docker-entrypoint.d/
/docker-entrypoint.sh: Launching /docker-entrypoint.d/10-listen-on-ipv6-by-default.sh

以上命令执行后会一直占用着前端，我们新开一个终端连接来看一下容器的80端口被映射到了宿主机的什么端口上

[root@yj ~]# docker port nginx1
80/tcp -> 0.0.0.0:49156
80/tcp -> :::49156

由此可见，容器的80端口被暴露到了宿主机的49156端口上，此时我们在宿主机上访问一下这个端口看是否能访问到容器内的站点

[root@yj ~]# curl http://127.0.0.1:49156
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
html { color-scheme: light dark; }
body { width: 35em; margin: 0 auto;
font-family: Tahoma, Verdana, Arial, sans-serif; }
</style>
</head>
<body>
<h1>Welcome to nginx!</h1>
<p>If you see this page, the nginx web server is successfully installed and
working. Further configuration is required.</p><p>For online documentation and support please refer to
<a href="http://nginx.org/">nginx.org</a>.<br/>
Commercial support is available at
<a href="http://nginx.com/">nginx.com</a>.</p><p><em>Thank you for using nginx.</em></p>
</body>
</html>

因为做了nginx的端口映射，所以用宿主机的ip地址加上映射的随机端口也能访问到nginx页面

iptables防火墙规则将随容器的创建自动生成，随容器的删除自动删除规则。

将容器端口映射到指定IP的随机端口

[root@yj ~]# docker run --name nginx1 --rm -p 192.168.47.137::80 nginx
/docker-entrypoint.sh: /docker-entrypoint.d/ is not empty, will attempt to perform configuration
/docker-entrypoint.sh: Looking for shell scripts in /docker-entrypoint.d/
/docker-entrypoint.sh: Launching /docker-entrypoint.d/10-listen-on-ipv6-by-default.sh

在另一个终端上查看端口映射情况

[root@localhost ~]# docker port web
80/tcp -> 192.168.10.144:32768

将容器端口映射到宿主机的指定端口

[root@localhost ~]# docker run --name web --rm -p 80:80 nginx

在另一个终端上查看端口映射情况

[root@yj ~]# docker port nginx1
80/tcp -> 192.168.47.137:49153

自定义docker0桥的网络属性信息

官方文档相关配置

自定义docker0桥的网络属性信息需要修改/etc/docker/daemon.json配置文件

[root@yj ~]# vim /etc/docker/daemon.json {"registry-mirrors": ["https://3bufl9dc.mirror.aliyuncs.com"] //加速器"bip": 192.168.66.99/24"      //定义网桥
}
[root@yj ~]# systemctl start docker
[root@yj ~]# systemctl restart docker.service
[root@yj ~]# ip a
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default link/ether 02:42:b4:e8:d6:6d brd ff:ff:ff:ff:ff:ffinet 192.168.13.14/24 brd 192.168.13.255 scope global docker0valid_lft forever preferred_lft foreverinet6 fe80::42:b4ff:fee8:d66d/64 scope link valid_lft forever preferred_lft forever

核心选项为bip，即bridge ip之意，用于指定docker0桥自身的IP地址；其它选项可通过此地址计算得出。

docker远程连接

dockerd守护进程的C/S，其默认仅监听Unix Socket格式的地址(/var/run/docker.sock)，如果要使用TCP套接字，则需要修改/etc/docker/daemon.json配置文件，添加如下内容，然后重启docker服务：使用ip sockip加端口

[root@localhost ~]# vi /lib/systemd/system/docker.service
ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock
/docker.sock"]
[root@localhost ~]# systemctl daemon-reload
[root@localhost ~]# systemctl restart docker

在客户端上向dockerd直接传递“-H|–host”选项指定要控制哪台主机上的docker容器

[root@my ~]# docker run -dit --name hh --rm centos
718f09205c67528aa9eb465395e3d8817d24fac08e0a5aa0c37735868bee5a40
[root@my ~]# docker ps
CONTAINER ID   IMAGE     COMMAND       CREATED         STATUS         PORTS     NAMES
718f09205c67   centos    "/bin/bash"   6 seconds ago   Up 5 seconds             hh[root@my ~]# docker -H 192.168.47.137:2375 ps
CONTAINER ID   IMAGE     COMMAND       CREATED          STATUS         PORTS     NAMES
718f09205c67   centos    "/bin/bash"   10 seconds ago   Up 9 seconds             hh

docker创建自定义桥

创建一个额外的自定义桥，区别于docker0

[root@yj ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
2b489af229c0   bridge    bridge    local
ed00bc4bb657   host      host      local
683e724cf41b   none      null      local
//-d  是基于三种默认的网络中的一种驱动启动
[root@yj ~]# docker network create -d bridge --subnet "192.168.1.0/24" --gateway "192.168.1.1" br0
66432df1b0db018ce04bda1835fde62c98bff9e1aa45a5248abdd16edfae365f
[root@yj ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
66432df1b0db   br0       bridge    local
2b489af229c0   bridge    bridge    local
ed00bc4bb657   host      host      local
683e724cf41b   none      null      local

使用新创建的自定义桥来创建容器：

[root@yj ~]# docker run -it --name gg --network br0 --rm busybox
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00inet 127.0.0.1/8 scope host lovalid_lft forever preferred_lft forever
27: eth0@if28: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue link/ether 02:42:c0:a8:01:02 brd ff:ff:ff:ff:ff:ffinet 192.168.1.2/24 brd 192.168.1.255 scope global eth0valid_lft forever preferred_lft forever

再创建一个容器，使用默认的bridge桥：

[root@yj ~]# docker run -it --name gg1 --rm busybox
/ # ifconfig
eth0      Link encap:Ethernet  HWaddr 02:42:C0:A8:0D:01  inet addr:192.168.13.1  Bcast:192.168.13.255  Mask:255.255.255.0UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1RX packets:11 errors:0 dropped:0 overruns:0 frame:0TX packets:0 errors:0 dropped:0 overruns:0 carrier:0collisions:0 txqueuelen:0 RX bytes:946 (946.0 B)  TX bytes:0 (0.0 B)

试想一下，此时的b2与b1能否互相通信？如果不能该如何实现通信？