小桥流水78

这个屌丝很懒，什么也没留下！

热门标签

docker系列—桥接网络_docker 桥接

作者：小桥流水78 | 2024-08-17 01:52:15

踩

docker 桥接

文章目录

- 桥接网络

桥接网络

在网络方面，桥接网络是在网段之间的转发流量的链路层设备。桥是可以在主机内核运行的硬件设备或软件设备。

就Docker而言，网桥网络使用软件网桥，该软件网桥允许连接到同一网桥网络的容器进行通信，同时与未连接到该网桥网络的容器隔离。Docker网桥驱动程序会自动在主机中安装规则，以使不同网桥网络上的容器无法直接相互通信。

桥接网络适用于在同一 Docker守护程序主机上运行的容器。为了在不同Docker守护程序主机上运行的容器之间进行通信，可以在OS级别管理路由，也可以使用覆盖网络。

启动Docker时，会自动创建一个默认的桥接网络（也称为bridge），除非另有说明，否则新启动的容器将连接到它。还可以创建用户定义的自定义网桥网络。用户定义的网桥网络优于默认bridge 网络。

用户定义的网桥和默认网桥之间的区别

用户定义的网桥可在容器之间提供自动DNS解析。
默认桥接网络上的容器只能通过IP地址互相访问，除非使用被认为是传统--link选项。在用户定义的网桥网络上，容器可以通过名称或别名相互解析。
用户定义的桥可提供更好的隔离。
所有未--network指定的容器都将连接到默认网桥网络。这可能是一种风险，因为不相关的堆栈/服务/容器随后能够进行通信。
使用用户定义的网络可提供作用域网络，其中只有连接到该网络的容器才能通信。
容器可以随时随地从用户自定义的网络连接和分离。
在容器的生命周期内，可以即时将其与用户定义的网络连接或断开连接。要从默认网桥网络中删除容器，需要停止容器并使用其他网络选项重新创建它。
每个用户定义的网络都会创建一个可配置的网桥。
如果容器使用默认桥接网络，则可以对其进行配置，但是所有容器都使用相同的设置，例如MTU和iptables规则。另外，配置默认桥接网络发生在Docker本身之外，并且需要重新启动Docker。
用户定义的桥接网络是使用创建和配置的 docker network create。如果不同的应用程序组具有不同的网络要求，则可以在创建时分别配置每个用户定义的网桥。
默认网桥网络上的链接容器共享环境变量。
最初，在两个容器之间共享环境变量的唯一方法是使用--link链接它们。用户定义的网络无法进行这种类型的变量共享。但是，存在共享环境变量的高级方法。一些想法：
1 多个容器可以使用Docker卷挂载包含共享信息的文件或目录。
2 可以使用一起启动多个容器docker-compose，并且compose文件可以定义共享变量。
3 可以使用群体服务来代替独立容器，并利用共享机密和配置。

管理用户定义的桥

使用该docker network create命令创建用户定义的网桥网络。
可以指定子网，IP地址范围，网关和其他选项。有关详细信息，请参见 docker网络创建参考或输出docker network create --help。

docker network create my-net
1

使用该docker network rm命令删除用户定义的网桥网络。如果容器当前已连接到网络，请先断开它们的连接。

docker network rm my-net
1

将容器连接到用户定义的桥

创建新容器时，可以指定一个或多个–network标志。此示例将Nginx容器连接到my-net网络。它还将容器中的端口80发布到Docker主机上的端口8080，以便外部客户端可以访问该端口。连接到my-net 网络的任何其他容器都可以访问该my-nginx容器上的所有端口，反之亦然。

docker create --name my-nginx \
  --network my-net \
  --publish 8080:80 \
  nginx
1
2
3
4

要将运行中的容器连接到现有的用户定义的网桥，请使用以下 docker network connect命令。以下命令将一个正在运行的my-nginx容器连接到一个已经存在的my-net网络：

docker network connect my-net my-nginx
1

断开容器与用户定义的桥的连接

要将运行中的容器与用户定义的网桥断开连接，请使用以下docker network disconnect命令。以下命令将my-nginx 容器与my-net网络断开连接。

docker network disconnect my-net my-nginx
1

ipv6

如果需要Docker容器的IPv6支持，则需要在创建任何IPv6网络或分配容器IPv6地址之前，在Docker守护程序上启用该选项并重新加载其配置。

创建网络时，可以指定–ipv6标志以启用IPv6。不能在默认bridge网络上有选择地禁用IPv6支持。

启用从Docker容器到外界的转发

默认情况下，来自连接到默认网桥网络的容器的流量不会转发到外界。要启用转发，您需要更改两个设置。这些不是Docker命令，它们会影响Docker主机的内核。

配置Linux内核以允许IP转发。
```
sysctl net.ipv4.conf.all.forwarding=1
1
```
将策略的iptables FORWARD策略从更改DROP为 ACCEPT。
```
iptables -P FORWARD ACCEPT
1
```
这些设置不会在重新启动后持续存在，因此您可能需要将它们添加到启动脚本中。

使用默认的桥接网络

默认bridge网络被认为是Docker的遗留细节，不建议用于生产环境。

将容器连接到默认网桥

如果未使用该–network标志指定网络，而是指定了网络驱动程序，则默认情况下，容器将连接到默认bridge网络。连接到默认bridge网络的容器只能通过IP地址进行通信，除非它们使用旧版 --link 进行链接。

配置默认桥接网络

要配置默认bridge网络，请在daemon.json中指定选项。这是daemon.json指定了几个选项的示例。仅指定需要自定义的设置。

{
  "bip": "192.168.1.5/24",
  "fixed-cidr": "192.168.1.5/25",
  "fixed-cidr-v6": "2001:db8::/64",
  "mtu": 1500,
  "default-gateway": "10.20.1.1",
  "default-gateway-v6": "2001:db8:abcd::89",
  "dns": ["10.20.1.2","10.20.1.3"]
}
1
2
3
4
5
6
7
8
9

示例

默认的桥接网络

查看本地网络

docker network ls

NETWORK ID          NAME                DRIVER              SCOPE
17e324f45964        bridge              bridge              local
6ed54d316334        host                host                local
7092879f2cc8        none                null                local
1
2
3
4
5
6

启动两个容器，没有指定 --network所以是默认的bridge

docker run -dit --name alpine1 alpine ash

docker run -dit --name alpine2 alpine ash
1
2
3

通过docker network inspect bridge查看当前连接的容器。
使用docker attach 命令连接到alpine1，确保可以通过ping连接到www.baidu.com。
现在尝试ping第二个容器。首先，通过其IP地址对其进行ping操作 172.17.0.3：

这样成功了。接下来，尝试alpine2按容器名称ping 容器。这将失败。
停止并删除alpine1和alpine2。

使用用户定义的网桥

创建alpine-net网络

docker network create --driver bridge alpine-net
1

创建4个容器。alpine1 alpine2连接到alpine-net ， alpine3连接到默认的bridge，注意alpine4，run时连接到alpine-net，然后通过connect连接到默认的bridge。

docker run -dit --name alpine1 --network alpine-net alpine ash

docker run -dit --name alpine2 --network alpine-net alpine ash

docker run -dit --name alpine3 alpine ash

docker run -dit --name alpine4 --network alpine-net alpine ash

docker network connect bridge alpine4
1
2
3
4
5
6
7
8
9

通过docker network inspect bridge / docker network inspect alpine-net来查看两个网络的连接信息。

用户定义网络上alpine-net，容器不仅可以按IP地址进行通信，而且还可以将容器名称解析为IP地址。此 功能称为自动服务发现 。再连接alpine1并测试一下。alpine1应该能够解析 alpine2和alpine4（以及alpine1本身）为IP地址。

$ docker container attach alpine1

# ping -c 2 alpine2

PING alpine2 (172.18.0.3): 56 data bytes
64 bytes from 172.18.0.3: seq=0 ttl=64 time=0.085 ms
64 bytes from 172.18.0.3: seq=1 ttl=64 time=0.090 ms

--- alpine2 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.085/0.087/0.090 ms

# ping -c 2 alpine4

PING alpine4 (172.18.0.4): 56 data bytes
64 bytes from 172.18.0.4: seq=0 ttl=64 time=0.076 ms
64 bytes from 172.18.0.4: seq=1 ttl=64 time=0.091 ms

--- alpine4 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.076/0.083/0.091 ms

# ping -c 2 alpine1

PING alpine1 (172.18.0.2): 56 data bytes
64 bytes from 172.18.0.2: seq=0 ttl=64 time=0.026 ms
64 bytes from 172.18.0.2: seq=1 ttl=64 time=0.054 ms

--- alpine1 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.026/0.040/0.054 ms
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

从alpine1根本不应该连接到alpine3，因为它不在alpine-net网络上。反之亦然。

alpine4已连接到默认bridge网络和alpine-net。它应该能够到达所有其他容器。但是，需要alpine3按其IP地址进行寻址。

# ping -c 2 alpine3
ping: bad address 'alpine3'

# ping -c 2 172.17.0.2

PING 172.17.0.2 (172.17.0.2): 56 data bytes
64 bytes from 172.17.0.2: seq=0 ttl=64 time=0.089 ms
64 bytes from 172.17.0.2: seq=1 ttl=64 time=0.075 ms

--- 172.17.0.2 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.075/0.082/0.089 ms
1
2
3
4
5
6
7
8
9
10
11
12

此示例只是一个简单的测试，可以此示例来理解上文所描述的。

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/小桥流水78/article/detail/990682