Docker之有哪些網(wǎng)絡(luò)模式

發(fā)布時(shí)間：2021-10-26 10:39:49 來(lái)源：億速云閱讀：133 作者：iii 欄目：編程語(yǔ)言

本篇內(nèi)容介紹了“Docker之有哪些網(wǎng)絡(luò)模式”的有關(guān)知識(shí)，在實(shí)際案例的操作過(guò)程中，不少人都會(huì)遇到這樣的困境，接下來(lái)就讓小編帶領(lǐng)大家學(xué)習(xí)一下如何處理這些情況吧！希望大家仔細(xì)閱讀，能夠?qū)W有所成！

默認(rèn)網(wǎng)絡(luò)

當(dāng)你安裝Docker時(shí)，它會(huì)自動(dòng)創(chuàng)建三個(gè)網(wǎng)絡(luò)。你可以使用以下docker network ls命令列出這些網(wǎng)絡(luò)：

$ docker network ls

NETWORK ID NAME DRIVER

7fca4eb8c647 bridge bridge

9f904ee27bf5 none null

cf03ee007fb4 host host

Docker內(nèi)置這三個(gè)網(wǎng)絡(luò)，運(yùn)行容器時(shí)，你可以使用該--network標(biāo)志來(lái)指定容器應(yīng)連接到哪些網(wǎng)絡(luò)。

該bridge網(wǎng)絡(luò)代表docker0所有Docker安裝中存在的網(wǎng)絡(luò)。除非你使用該docker run --network=<NETWORK>選項(xiàng)指定，否則Docker守護(hù)程序默認(rèn)將容器連接到此網(wǎng)絡(luò)。

我們?cè)谑褂胐ocker run創(chuàng)建Docker容器時(shí)，可以用 --net 選項(xiàng)指定容器的網(wǎng)絡(luò)模式，Docker可以有以下4種網(wǎng)絡(luò)模式：

host模式：使用 --net=host 指定。

none模式：使用 --net=none 指定。

bridge模式：使用 --net=bridge 指定，默認(rèn)設(shè)置。

container模式：使用 --net=container:NAME_or_ID 指定。

下面分別介紹一下Docker的各個(gè)網(wǎng)絡(luò)模式。

Host

相當(dāng)于Vmware中的橋接模式，與宿主機(jī)在同一個(gè)網(wǎng)絡(luò)中，但沒(méi)有獨(dú)立IP地址。眾所周知，Docker使用了Linux的Namespaces技術(shù)來(lái)進(jìn)行資源隔離，如PID Namespace隔離進(jìn)程，Mount Namespace隔離文件系統(tǒng)，Network Namespace隔離網(wǎng)絡(luò)等。一個(gè)Network Namespace提供了一份獨(dú)立的網(wǎng)絡(luò)環(huán)境，包括網(wǎng)卡、路由、Iptable規(guī)則等都與其他的Network Namespace隔離。一個(gè)Docker容器一般會(huì)分配一個(gè)獨(dú)立的Network Namespace。但如果啟動(dòng)容器的時(shí)候使用host模式，那么這個(gè)容器將不會(huì)獲得一個(gè)獨(dú)立的Network Namespace，而是和宿主機(jī)共用一個(gè)Network Namespace。容器將不會(huì)虛擬出自己的網(wǎng)卡，配置自己的IP等，而是使用宿主機(jī)的IP和端口。

例如，我們?cè)?0.10.0.186/24的機(jī)器上用host模式啟動(dòng)一個(gè)含有nginx應(yīng)用的Docker容器，監(jiān)聽(tīng)tcp80端口。

# 運(yùn)行容器;

$ docker run --name=nginx_host --net=host -p 80:80 -d nginx

74c911272942841875f4faf2aca02e3814035c900840d11e3f141fbaa884ae5c

# 查看容器;

$ docker ps

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

74c911272942 nginx "nginx -g 'daemon ..." 25 seconds ago Up 25 seconds nginx_host

當(dāng)我們?cè)谌萜髦袌?zhí)行任何類似ifconfig命令查看網(wǎng)絡(luò)環(huán)境時(shí)，看到的都是宿主機(jī)上的信息。而外界訪問(wèn)容器中的應(yīng)用，則直接使用10.10.0.186:80即可，不用任何NAT轉(zhuǎn)換，就如直接跑在宿主機(jī)中一樣。但是，容器的其他方面，如文件系統(tǒng)、進(jìn)程列表等還是和宿主機(jī)隔離的。

1 2	`$ netstat -nplt \| grep nginx` `tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 27340/nginx: master`

Container

在理解了host模式后，這個(gè)模式也就好理解了。這個(gè)模式指定新創(chuàng)建的容器和已經(jīng)存在的一個(gè)容器共享一個(gè)Network Namespace，而不是和宿主機(jī)共享。新創(chuàng)建的容器不會(huì)創(chuàng)建自己的網(wǎng)卡，配置自己的IP，而是和一個(gè)指定的容器共享IP、端口范圍等。同樣，兩個(gè)容器除了網(wǎng)絡(luò)方面，其他的如文件系統(tǒng)、進(jìn)程列表等還是隔離的。兩個(gè)容器的進(jìn)程可以通過(guò)lo網(wǎng)卡設(shè)備通信。

None

該模式將容器放置在它自己的網(wǎng)絡(luò)棧中，但是并不進(jìn)行任何配置。實(shí)際上，該模式關(guān)閉了容器的網(wǎng)絡(luò)功能，在以下兩種情況下是有用的：容器并不需要網(wǎng)絡(luò)（例如只需要寫磁盤卷的批處理任務(wù)）。

overlay

在docker1.7代碼進(jìn)行了重構(gòu)，單獨(dú)把網(wǎng)絡(luò)部分獨(dú)立出來(lái)編寫，所以在docker1.8新加入的一個(gè)overlay網(wǎng)絡(luò)模式。Docker對(duì)于網(wǎng)絡(luò)訪問(wèn)的控制也是在逐漸完善的。

Bridge

相當(dāng)于Vmware中的Nat模式，容器使用獨(dú)立network Namespace，并連接到docker0虛擬網(wǎng)卡（默認(rèn)模式）。通過(guò)docker0網(wǎng)橋以及Iptables nat表配置與宿主機(jī)通信；bridge模式是Docker默認(rèn)的網(wǎng)絡(luò)設(shè)置，此模式會(huì)為每一個(gè)容器分配Network Namespace、設(shè)置IP等，并將一個(gè)主機(jī)上的Docker容器連接到一個(gè)虛擬網(wǎng)橋上。下面著重介紹一下此模式。

Bridge模式

Bridge模式的拓?fù)?/h5>
當(dāng)Docker server啟動(dòng)時(shí)，會(huì)在主機(jī)上創(chuàng)建一個(gè)名為docker0的虛擬網(wǎng)橋，此主機(jī)上啟動(dòng)的Docker容器會(huì)連接到這個(gè)虛擬網(wǎng)橋上。虛擬網(wǎng)橋的工作方式和物理交換機(jī)類似，這樣主機(jī)上的所有容器就通過(guò)交換機(jī)連在了一個(gè)二層網(wǎng)絡(luò)中。接下來(lái)就要為容器分配IP了，Docker會(huì)從RFC1918所定義的私有IP網(wǎng)段中，選擇一個(gè)和宿主機(jī)不同的IP地址和子網(wǎng)分配給docker0，連接到docker0的容器就從這個(gè)子網(wǎng)中選擇一個(gè)未占用的IP使用。如一般Docker會(huì)使用172.17.0.0/16這個(gè)網(wǎng)段，并將172.17.0.1/16分配給docker0網(wǎng)橋（在主機(jī)上使用ifconfig命令是可以看到docker0的，可以認(rèn)為它是網(wǎng)橋的管理接口，在宿主機(jī)上作為一塊虛擬網(wǎng)卡使用）。單機(jī)環(huán)境下的網(wǎng)絡(luò)拓?fù)淙缦?，主機(jī)地址為10.10.0.186/24。

Docker：網(wǎng)絡(luò)模式詳解

Docker完成以上網(wǎng)絡(luò)配置的過(guò)程大致是這樣的：

1. 在主機(jī)上創(chuàng)建一對(duì)虛擬網(wǎng)卡veth pair設(shè)備。veth設(shè)備總是成對(duì)出現(xiàn)的，它們組成了一個(gè)數(shù)據(jù)的通道，數(shù)據(jù)從一個(gè)設(shè)備進(jìn)入，就會(huì)從另一個(gè)設(shè)備出來(lái)。因此，veth設(shè)備常用來(lái)連接兩個(gè)網(wǎng)絡(luò)設(shè)備。

2. Docker將veth pair設(shè)備的一端放在新創(chuàng)建的容器中，并命名為eth0。另一端放在主機(jī)中，以veth75f9這樣類似的名字命名，并將這個(gè)網(wǎng)絡(luò)設(shè)備加入到docker0網(wǎng)橋中，可以通過(guò)brctl show命令查看。

$ brctl show

bridge name bridge id STP enabled interfaces

docker0 8000.02425f21c208 no

3. 從docker0子網(wǎng)中分配一個(gè)IP給容器使用，并設(shè)置docker0的IP地址為容器的默認(rèn)網(wǎng)關(guān)。

# 運(yùn)行容器;

$ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx

9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a

# 查看容器;

$ docker ps

CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES

9582dbec7981 nginx "nginx -g 'daemon ..." 3 seconds ago Up 2 seconds 0.0.0.0:80->80/tcp nginx_bridge

# 查看容器網(wǎng)絡(luò);

$ docker inspect 9582dbec7981

"Networks" : {

"bridge" : {

"IPAMConfig" : null ,

"Links" : null ,

"Aliases" : null ,

"NetworkID" : "9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059" ,

"EndpointID" : "81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b" ,

"Gateway" : "172.17.0.1" ,

"IPAddress" : "172.17.0.2" ,

"IPPrefixLen" : 16,

"IPv6Gateway" : "" ,

"GlobalIPv6Address" : "" ,

"GlobalIPv6PrefixLen" : 0,

"MacAddress" : "02:42:ac:11:00:02"

}

$ docker network inspect bridge

[

{

"Name" : "bridge" ,

"Id" : "9e017f5d4724039f24acc8aec634c8d2af3a9024f67585fce0a0d2b3cb470059" ,

"Created" : "2017-08-09T23:20:28.061678042-04:00" ,

"Scope" : "local" ,

"Driver" : "bridge" ,

"EnableIPv6" : false ,

"IPAM" : {

"Driver" : "default" ,

"Options" : null ,

"Config" : [

{

"Subnet" : "172.17.0.0/16"

}

]

},

"Internal" : false ,

"Attachable" : false ,

"Ingress" : false ,

"Containers" : {

"9582dbec7981085ab1f159edcc4bf35e2ee8d5a03984d214bce32a30eab4921a" : {

"Name" : "nginx_bridge" ,

"EndpointID" : "81b94c1b57de26f9c6690942cd78689041d6c27a564e079d7b1f603ecc104b3b" ,

"MacAddress" : "02:42:ac:11:00:02" ,

"IPv4Address" : "172.17.0.2/16" ,

"IPv6Address" : ""

}

},

"Options" : {

"com.docker.network.bridge.default_bridge" : "true" ,

"com.docker.network.bridge.enable_icc" : "true" ,

"com.docker.network.bridge.enable_ip_masquerade" : "true" ,

"com.docker.network.bridge.host_binding_ipv4" : "0.0.0.0" ,

"com.docker.network.bridge.name" : "docker0" ,

"com.docker.network.driver.mtu" : "1500"

},

"Labels" : {}

}

]

網(wǎng)絡(luò)拓?fù)浣榻B完后，接著介紹一下bridge模式下容器是如何通信的。

bridge模式下容器的通信

在bridge模式下，連在同一網(wǎng)橋上的容器可以相互通信（若出于安全考慮，也可以禁止它們之間通信，方法是在DOCKER_OPTS變量中設(shè)置–icc=false，這樣只有使用–link才能使兩個(gè)容器通信）。

Docker可以開(kāi)啟容器間通信（意味著默認(rèn)配置--icc=true），也就是說(shuō)，宿主機(jī)上的所有容器可以不受任何限制地相互通信，這可能導(dǎo)致拒絕服務(wù)攻擊。進(jìn)一步地，Docker可以通過(guò)--ip_forward和--iptables兩個(gè)選項(xiàng)控制容器間、容器和外部世界的通信。

容器也可以與外部通信，我們看一下主機(jī)上的Iptable規(guī)則，可以看到這么一條

1	`-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE`

這條規(guī)則會(huì)將源地址為172.17.0.0/16的包（也就是從Docker容器產(chǎn)生的包），并且不是從docker0網(wǎng)卡發(fā)出的，進(jìn)行源地址轉(zhuǎn)換，轉(zhuǎn)換成主機(jī)網(wǎng)卡的地址。這么說(shuō)可能不太好理解，舉一個(gè)例子說(shuō)明一下。假設(shè)主機(jī)有一塊網(wǎng)卡為eth0，IP地址為10.10.101.105/24，網(wǎng)關(guān)為10.10.101.254。從主機(jī)上一個(gè)IP為172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先從容器發(fā)往自己的默認(rèn)網(wǎng)關(guān)docker0，包到達(dá)docker0后，也就到達(dá)了主機(jī)上。然后會(huì)查詢主機(jī)的路由表，發(fā)現(xiàn)包應(yīng)該從主機(jī)的eth0發(fā)往主機(jī)的網(wǎng)關(guān)10.10.105.254/24。接著包會(huì)轉(zhuǎn)發(fā)給eth0，并從eth0發(fā)出去（主機(jī)的ip_forward轉(zhuǎn)發(fā)應(yīng)該已經(jīng)打開(kāi)）。這時(shí)候，上面的Iptable規(guī)則就會(huì)起作用，對(duì)包做SNAT轉(zhuǎn)換，將源地址換為eth0的地址。這樣，在外界看來(lái)，這個(gè)包就是從10.10.101.105上發(fā)出來(lái)的，Docker容器對(duì)外是不可見(jiàn)的。

那么，外面的機(jī)器是如何訪問(wèn)Docker容器的服務(wù)呢？我們首先用下面命令創(chuàng)建一個(gè)含有web應(yīng)用的容器，將容器的80端口映射到主機(jī)的80端口。

1	`$ docker run --name=nginx_bridge --net=bridge -p 80:80 -d nginx`

然后查看Iptable規(guī)則的變化，發(fā)現(xiàn)多了這樣一條規(guī)則：

1	`-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.2:80`

此條規(guī)則就是對(duì)主機(jī)eth0收到的目的端口為80的tcp流量進(jìn)行DNAT轉(zhuǎn)換，將流量發(fā)往172.17.0.2:80，也就是我們上面創(chuàng)建的Docker容器。所以，外界只需訪問(wèn)10.10.101.105:80就可以訪問(wèn)到容器中的服務(wù)。

除此之外，我們還可以自定義Docker使用的IP地址、DNS等信息，甚至使用自己定義的網(wǎng)橋，但是其工作方式還是一樣的。

自定義網(wǎng)絡(luò)

建議使用自定義的網(wǎng)橋來(lái)控制哪些容器可以相互通信，還可以自動(dòng)DNS解析容器名稱到IP地址。Docker提供了創(chuàng)建這些網(wǎng)絡(luò)的默認(rèn)網(wǎng)絡(luò)驅(qū)動(dòng)程序，你可以創(chuàng)建一個(gè)新的Bridge網(wǎng)絡(luò)，Overlay或Macvlan網(wǎng)絡(luò)。你還可以創(chuàng)建一個(gè)網(wǎng)絡(luò)插件或遠(yuǎn)程網(wǎng)絡(luò)進(jìn)行完整的自定義和控制。

你可以根據(jù)需要?jiǎng)?chuàng)建任意數(shù)量的網(wǎng)絡(luò)，并且可以在任何給定時(shí)間將容器連接到這些網(wǎng)絡(luò)中的零個(gè)或多個(gè)網(wǎng)絡(luò)。此外，您可以連接并斷開(kāi)網(wǎng)絡(luò)中的運(yùn)行容器，而無(wú)需重新啟動(dòng)容器。當(dāng)容器連接到多個(gè)網(wǎng)絡(luò)時(shí)，其外部連接通過(guò)第一個(gè)非內(nèi)部網(wǎng)絡(luò)以詞法順序提供。

接下來(lái)介紹Docker的內(nèi)置網(wǎng)絡(luò)驅(qū)動(dòng)程序。

bridge

一個(gè)bridge網(wǎng)絡(luò)是Docker中最常用的網(wǎng)絡(luò)類型。橋接網(wǎng)絡(luò)類似于默認(rèn)bridge網(wǎng)絡(luò)，但添加一些新功能并刪除一些舊的能力。以下示例創(chuàng)建一些橋接網(wǎng)絡(luò)，并對(duì)這些網(wǎng)絡(luò)上的容器執(zhí)行一些實(shí)驗(yàn)。

1	`$ docker network create --driver bridge new_bridge`

創(chuàng)建網(wǎng)絡(luò)后，可以看到新增加了一個(gè)網(wǎng)橋（172.18.0.1）。

$ ifconfig

br-f677ada3003c: flags=4099<UP,BROADCAST,MULTICAST> mtu 1500

inet 172.18.0.1 netmask 255.255.0.0 broadcast 0.0.0.0

ether 02:42:2f:c1:db:5a txqueuelen 0 (Ethernet)

RX packets 4001976 bytes 526995216 (502.5 MiB)

RX errors 0 dropped 35 overruns 0 frame 0

TX packets 1424063 bytes 186928741 (178.2 MiB)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500

inet 172.17.0.1 netmask 255.255.0.0 broadcast 0.0.0.0

inet6 fe80::42:5fff:fe21:c208 prefixlen 64 scopeid 0x20<link>

ether 02:42:5f:21:c2:08 txqueuelen 0 (Ethernet)

RX packets 12 bytes 2132 (2.0 KiB)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 24 bytes 2633 (2.5 KiB)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

Macvlan

Macvlan是一個(gè)新的嘗試，是真正的網(wǎng)絡(luò)虛擬化技術(shù)的轉(zhuǎn)折點(diǎn)。Linux實(shí)現(xiàn)非常輕量級(jí)，因?yàn)榕c傳統(tǒng)的Linux Bridge隔離相比，它們只是簡(jiǎn)單地與一個(gè)Linux以太網(wǎng)接口或子接口相關(guān)聯(lián)，以實(shí)現(xiàn)網(wǎng)絡(luò)之間的分離和與物理網(wǎng)絡(luò)的連接。

Macvlan提供了許多獨(dú)特的功能，并有充足的空間進(jìn)一步創(chuàng)新與各種模式。這些方法的兩個(gè)高級(jí)優(yōu)點(diǎn)是繞過(guò)Linux網(wǎng)橋的正面性能以及移動(dòng)部件少的簡(jiǎn)單性。刪除傳統(tǒng)上駐留在Docker主機(jī)NIC和容器接口之間的網(wǎng)橋留下了一個(gè)非常簡(jiǎn)單的設(shè)置，包括容器接口，直接連接到Docker主機(jī)接口。由于在這些情況下沒(méi)有端口映射，因此可以輕松訪問(wèn)外部服務(wù)。

Macvlan Bridge模式示例用法

Macvlan Bridge模式每個(gè)容器都有唯一的MAC地址，用于跟蹤Docker主機(jī)的MAC到端口映射。 Macvlan驅(qū)動(dòng)程序網(wǎng)絡(luò)連接到父Docker主機(jī)接口。示例是物理接口，例如eth0，用于802.1q VLAN標(biāo)記的子接口eth0.10（.10代表VLAN 10）或甚至綁定的主機(jī)適配器，將兩個(gè)以太網(wǎng)接口捆綁為單個(gè)邏輯接口。指定的網(wǎng)關(guān)由網(wǎng)絡(luò)基礎(chǔ)設(shè)施提供的主機(jī)外部。每個(gè)Macvlan Bridge模式的Docker網(wǎng)絡(luò)彼此隔離，一次只能有一個(gè)網(wǎng)絡(luò)連接到父節(jié)點(diǎn)。每個(gè)主機(jī)適配器有一個(gè)理論限制，每個(gè)主機(jī)適配器可以連接一個(gè)Docker網(wǎng)絡(luò)。同一子網(wǎng)內(nèi)的任何容器都可以與沒(méi)有網(wǎng)關(guān)的同一網(wǎng)絡(luò)中的任何其他容器進(jìn)行通信macvlan bridge。相同的docker network命令適用于vlan驅(qū)動(dòng)程序。在Macvlan模式下，在兩個(gè)網(wǎng)絡(luò)/子網(wǎng)之間沒(méi)有外部進(jìn)程路由的情況下，單獨(dú)網(wǎng)絡(luò)上的容器無(wú)法互相訪問(wèn)。這也適用于同一碼頭網(wǎng)絡(luò)內(nèi)的多個(gè)子網(wǎng)。

在以下示例中，eth0在docker主機(jī)網(wǎng)絡(luò)上具有IP地址172.16.86.0/24，默認(rèn)網(wǎng)關(guān)為172.16.86.1，網(wǎng)關(guān)地址為外部路由器172.16.86.1。

Docker之有哪些網(wǎng)絡(luò)模式

注意對(duì)于Macvlan橋接模式，子網(wǎng)值需要與Docker主機(jī)的NIC的接口相匹配。例如，使用由該-o parent=選項(xiàng)指定的Docker主機(jī)以太網(wǎng)接口的相同子網(wǎng)和網(wǎng)關(guān)。

此示例中使用的父接口位于eth0子網(wǎng)上172.16.86.0/24，這些容器中的容器docker network也需要和父級(jí)同一個(gè)子網(wǎng)-o parent=。網(wǎng)關(guān)是網(wǎng)絡(luò)上的外部路由器，不是任何ip偽裝或任何其他本地代理。

驅(qū)動(dòng)程序用-d driver_name選項(xiàng)指定，在這種情況下-d macvlan。

父節(jié)點(diǎn)-o parent=eth0配置如下：

$ ip addr show eth0

3: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000

inet 172.16.86.250/24 brd 172.16.86.255 scope global eth0

創(chuàng)建macvlan網(wǎng)絡(luò)并運(yùn)行附加的幾個(gè)容器：

# Macvlan (-o macvlan_mode= Defaults to Bridge mode if not specified)

docker network create -d macvlan \

--subnet=172.16.86.0/24 \

--gateway=172.16.86.1 \

-o parent=eth0 pub_net

# Run a container on the new network specifying the --ip address.

docker run --net=pub_net --ip=172.16.86.10 -itd alpine /bin/sh

# Start a second container and ping the first

docker run --net=pub_net -it --rm alpine /bin/sh

ping -c 4 172.16.86.10

看看容器ip和路由表：

ip a show eth0

eth0@if3: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue state UNKNOWN

link/ether 46:b2:6b:26:2f:69 brd ff:ff:ff:ff:ff:ff

inet 172.16.86.2/24 scope global eth0

ip route

default via 172.16.86.1 dev eth0

172.16.86.0/24 dev eth0 src 172.16.86.2

# NOTE: the containers can NOT ping the underlying host interfaces as

# they are intentionally filtered by Linux for additional isolation.

# In this case the containers cannot ping the -o parent=172.16.86.250

Macvlan 802.1q Trunk Bridge模式示例用法

VLAN（虛擬局域網(wǎng)）長(zhǎng)期以來(lái)一直是虛擬化數(shù)據(jù)中心網(wǎng)絡(luò)的主要手段，目前仍在幾乎所有現(xiàn)有的網(wǎng)絡(luò)中隔離廣播的主要手段。

常用的VLAN劃分方式是通過(guò)端口進(jìn)行劃分，盡管這種劃分VLAN的方式設(shè)置比較很簡(jiǎn)單，但僅適用于終端設(shè)備物理位置比較固定的組網(wǎng)環(huán)境。隨著移動(dòng)辦公的普及，終端設(shè)備可能不再通過(guò)固定端口接入交換機(jī)，這就會(huì)增加網(wǎng)絡(luò)管理的工作量。比如，一個(gè)用戶可能本次接入交換機(jī)的端口1，而下一次接入交換機(jī)的端口2，由于端口1和端口2屬于不同的VLAN，若用戶想要接入原來(lái)的VLAN中，網(wǎng)管就必須重新對(duì)交換機(jī)進(jìn)行配置。顯然，這種劃分方式不適合那些需要頻繁改變拓?fù)浣Y(jié)構(gòu)的網(wǎng)絡(luò)。而MAC VLAN可以有效解決這個(gè)問(wèn)題，它根據(jù)終端設(shè)備的MAC地址來(lái)劃分VLAN。這樣，即使用戶改變了接入端口，也仍然處在原VLAN中。

Mac vlan不是以交換機(jī)端口來(lái)劃分vlan。因此，一個(gè)交換機(jī)端口可以接受來(lái)自多個(gè)mac地址的數(shù)據(jù)。一個(gè)交換機(jī)端口要處理多個(gè)vlan的數(shù)據(jù)，則要設(shè)置trunk模式。

在主機(jī)上同時(shí)運(yùn)行多個(gè)虛擬網(wǎng)絡(luò)的要求是非常常見(jiàn)的。Linux網(wǎng)絡(luò)長(zhǎng)期以來(lái)一直支持VLAN標(biāo)記，也稱為標(biāo)準(zhǔn)802.1q，用于維護(hù)網(wǎng)絡(luò)之間的數(shù)據(jù)路由隔離。連接到Docker主機(jī)的以太網(wǎng)鏈路可以配置為支持802.1q VLAN ID，方法是創(chuàng)建Linux子接口，每個(gè)子接口專用于唯一的VLAN ID。

Docker之有哪些網(wǎng)絡(luò)模式

創(chuàng)建Macvlan網(wǎng)絡(luò)

VLAN ID 10

$ docker network create \

--driver macvlan \

--subnet=10.10.0.0/24 \

--gateway=10.10.0.253 \

-o parent=eth0.10 macvlan10

開(kāi)啟一個(gè)橋接Macvlan的容器：

$ docker run --net=macvlan10 -it --name macvlan_test1 --rm alpine /bin/sh

/ # ip addr show

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN

link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

inet 127.0.0.1/8 scope host lo

valid_lft forever preferred_lft forever

21: eth0@if13: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue state UNKNOWN

link/ether 02:42:0a:0a:00:01 brd ff:ff:ff:ff:ff:ff

inet 10.10.0.1/24 scope global eth0

valid_lft forever preferred_lft forever

可以看到分配了一個(gè)10.10.0.1的地址，然后看一下路由地址。

/ # ip route

default via 10.10.0.253 dev eth0

10.10.0.0/24 dev eth0 src 10.10.0.1

然后再開(kāi)啟一個(gè)橋接Macvlan的容器：

$ docker run --net=macvlan10 -it --name macvlan_test2 --rm alpine /bin/sh

/ # ip addr show

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN

link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

inet 127.0.0.1/8 scope host lo

valid_lft forever preferred_lft forever

22: eth0@if13: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue state UNKNOWN

link/ether 02:42:0a:0a:00:02 brd ff:ff:ff:ff:ff:ff

inet 10.10.0.2/24 scope global eth0

valid_lft forever preferred_lft forever

可以看到分配了一個(gè)10.10.0.2的地址，然后可以在兩個(gè)容器之間相互ping，是可以ping通的。

/ # ping 10.10.0.1

PING 10.10.0.1 (10.10.0.1): 56 data bytes

64 bytes from 10.10.0.1: seq=0 ttl=64 time=0.094 ms

64 bytes from 10.10.0.1: seq=1 ttl=64 time=0.057 ms

經(jīng)過(guò)上面兩個(gè)容器的創(chuàng)建可以看出，容器IP是根據(jù)創(chuàng)建網(wǎng)絡(luò)時(shí)的網(wǎng)段從小往大分配的。

當(dāng)然，在創(chuàng)建容器時(shí)，我們也可以使用--ip手動(dòng)執(zhí)行一個(gè)IP地址分配給容器，如下操作。

$ docker run --net=macvlan10 -it --name macvlan_test3 --ip=10.10.0.189 --rm alpine /bin/sh

/ # ip addr show eth0

24: eth0@if13: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue state UNKNOWN

link/ether 02:42:0a:0a:00:bd brd ff:ff:ff:ff:ff:ff

inet 10.10.0.189/24 scope global eth0

valid_lft forever preferred_lft forever

VLAN ID 20

接著可以創(chuàng)建由Docker主機(jī)標(biāo)記和隔離的第二個(gè)VLAN網(wǎng)絡(luò)，該macvlan_mode默認(rèn)是macvlan_mode=bridge，如下：

$ docker network create \

--driver macvlan \

--subnet=192.10.0.0/24 \

--gateway=192.10.0.253 \

-o parent=eth0.20 \

-o macvlan_mode=bridge macvlan20

當(dāng)我們創(chuàng)建完Macvlan網(wǎng)絡(luò)之后，在docker主機(jī)可以看到相關(guān)的子接口，如下：

$ ifconfig

eth0.10: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500

ether 00:0c:29:16:01:8b txqueuelen 0 (Ethernet)

RX packets 0 bytes 0 (0.0 B)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 18 bytes 804 (804.0 B)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

eth0.20: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500

ether 00:0c:29:16:01:8b txqueuelen 0 (Ethernet)

RX packets 0 bytes 0 (0.0 B)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 0 bytes 0 (0.0 B)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

在/proc/net/vlan/config文件中，還可以看見(jiàn)相關(guān)的Vlan信息，如下：

$ cat /proc/net/vlan/config

VLAN Dev name | VLAN ID

Name-Type: VLAN_NAME_TYPE_RAW_PLUS_VID_NO_PAD

eth0.10 | 10 | eth0

eth0.20 | 20 | eth0

“Docker之有哪些網(wǎng)絡(luò)模式”的內(nèi)容就介紹到這里了，感謝大家的閱讀。如果想了解更多行業(yè)相關(guān)的知識(shí)可以關(guān)注億速云網(wǎng)站，小編將為大家輸出更多高質(zhì)量的實(shí)用文章！

向AI問(wèn)一下細(xì)節(jié)

Docker之有哪些網(wǎng)絡(luò)模式

默認(rèn)網(wǎng)絡(luò)

Host

Container

None

Bridge

Bridge模式

Docker：網(wǎng)絡(luò)模式詳解

bridge模式下容器的通信

自定義網(wǎng)絡(luò)

bridge

Macvlan

猜你喜歡

最新資訊

相關(guān)推薦

相關(guān)標(biāo)簽