一、Docker 网络实现原理

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

二、网络模式

1、Host模式

• host容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口范围。如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的 NetworkNamespace，而是和宿主机共用一个 Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。

• 使用host模式的容器可以直接使用宿主机的Ip地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是dockerhost 上已经使用的端口就不能再用了，网络的隔离性不好。

• 解决了ip地址不固定的情况

2、Container模式

这个模式指定新创建的容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信

3、none模式

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。该模式关闭了容器的网络功能

这种网络模式下容器只有lo回环网络，没有其他网卡。none模式可以在容器创建时通过- -network=none来指定。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

4、Bridge模式（默认）

• 此模式会为每一个容器分配、设置IP等，并将容器连接到一个docker0虚拟网桥，通过docker0网桥以及iptables nat表配置与宿主之间的关联

• 当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中

• 从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看

• bridge模式是docker的默认网络模式，不写–net参数，就是bridge模式。使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看

5、overlay模式

overlay叠加网络模式，使用外部的服务组件做为网关或代理，例如 ingress

三、自定义网络

host模式 –net=host 容器和宿主机共享Network namespace。
container模式 –net=container:NAME_or_ID 多个容器共享一个Network namespace。
none模式 –net=none 容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等。
bridge模式 –net=bridge （默认为该模式）
overlay模式
一般和docker-swarm结合(所以建议以了解的角度来介绍)

以上不需要动手配置，真正需要配置的是自定义网络

#查看网络列表
docker network ls

#查看容器信息（包含配置、环境、网关、挂载、cmd等等信息）
docker inspect 容器ID

#指定分配容器IP地址

docker run -itd --name test1 --network bridge --ip 172.17.0.10 centos:latest /bin/bash


#以上会报错，因为用户使用的ip地址不被规则所允许，docker0定义的就是按照顺序来，所有需要创建一个
1
2
3
4

#自定义网络固定IP

docker network create --subnet=172.18.0.0/16 mynetwork #默认为bridge
docker run -itd --name test2 --net mynetwork --ip 172.18.0.100 centos:latest /bin/bash
重启docker，ip地址不会消失，而k8s会重建。
1
2
3

#暴露端口

-p 自定义端口 （ 宿主机端口：容器内端口）
-P 随机端口	  （-P 49153起始  49153到65535）
docker run -itd -p 333:80 nginx /bin/bash （docker 0）
docker run -itd -p 444:80 nginx 
docker run -itd -P nginx /bin/bash
1
2
3
4
5

/bin/bash 也是一个cmd，会覆盖原有的cmd，多个cmd只能生效一个

#在宿主机环境执行容器内命令
docker exec -it 容器ID /bin/bash -c ‘nginx’
docker exec 容器ID/容器name 执行的命令

#如何把脚本传入一个已经运行的容器
#使用cp命令复制进去容器
docker cp start.sh cenos_v1:/opt
#使用cp命令从容器复制出来
docker cp cenos_v1:/opt/start.sh ./

#面试题
怎么把宿主机的文件传入到容器内部
1、linux 怎么复制
cp 原文件路径 目标文件路径
docker cp /opt/abc 容器id:/opt/abc

#进入容器没有systemctl 命令解决：添加–privileged=true （指定此容器是否为特权容器），使用此参数，则不能用attach
示例：
docker run -itd --name test3 --privileged=true centos /sbin/init

/sbin/init 内核启动时主动呼叫的第一个进程

可以使用docker inspect 容器ID

docker ps -a

docker exec -it 容器id /bin/bash
yum install httpd -y
systemctl status httpd

四、数据卷

docker pull centos

//宿主机目录/var/www 挂载容器中的/data1
docker run -v /var/www:/data1 --name web1 -it centos /bin/bash

[root@202dd484fd62 /]# cd /data1/

[root@202dd484fd62 data1]# touch test123

//返回宿主机进行查看
[root@localhost ~]# ls /var/www/

应用场景：
原理：将容器内部的配置文件目录，挂载到宿主机指定目录下
作用：
① 修改配置文件例如，nginx.conf /usr/local/nginx/conf/nginx.conf —> /container_nginx/conf/nginx.conf
② 容器内部产生的日志，如何收集 将容器内部存方日志文件的目录挂载到宿主机指定目录下/container_nginx/log/access_log/access_log
③ 传入变量 挂载到宿主机 在宿主机上添加变量内容，将变量放入共享目录，在容器中/etc/profile 直接加载就可以
export xxdir=/data/data1/xx.

五、数据卷容器

//数据卷容器
docker run --name web100 -v /data1 -v /data2 -it centos /bin/bash

echo “this is test02 file” > /data1/test.txt #容器内创建测试文件1
echo “THIS IS TEST2 FILE” > /data2/TEST.txt #容器内创建测试文件2

//新容器db1挂载数据卷容器web100
docker run -it --volumes-from web100 --name db1 centos /bin/bash
cat data1/test.txt #查看测试数据是否同步
cat data2/TEST.txt

原理：让两个容器实现数据共享

php ——》mysql 之间想要通讯 借助于socket 通讯文件

六、端口映射

docker run -d -P httpd:centos

docker run -d -p 49280:80 httpd:centos

docker ps -a

6d461287c25d httpd:centos “/run.sh” 7 seconds ago Up 7 seconds 0.0.0.0:49280->80/tcp zen_swanson

七、容器互联（使用centos镜像）

docker run -itd -P --name web1 centos /bin/bash //创建并运行容器取名web1,端口号自动映射

docker run -itd -P --name web2 --link web1:web1 centos /bin/bash //创建并运行容器取名web2，链接到web1和其通信

进web2 容器 ping web1

哨兵 ——》监控 redis
哨兵和redis包括哨兵和哨兵之间相互监控，会使用ping命令