zoukankan      html  css  js  c++  java
  • docker网络(3)

    docker网络介绍

      大量的互联网应用服务需要多个服务组件,这往往需要多个容器之间通过网络通信进行相互配合。
      docker 网络从覆盖范围可分为单个 host 上的容器网络和跨多个 host 的网络。docker 目前提供了映射容器端口到宿主主机和容器互联机制来为容器提供网
    络服务,在启动容器的时候,如果不指定参数,在容器外部是没有办法通过网络来访问容器内部的网络应用和服务的

      docker安装时,会自动在host上创建三个网络:

    [root@localhost ~]# docker network list/ls
    NETWORK ID          NAME                DRIVER              SCOPE
    979fbb278d03        bridge              bridge              local
    e3852e4d242e        host                host                local
    70b78b4570c6        none                null                local

    docker--none网络

        none网络就是什么都没有的网络,挂在这个网络下的容器除了lo,没有其他任何网卡,容器创建时,可以通过 --network=none 指定使用 none 网络。

    [root@localhost ~]# docker run -it --network=none busybox
    / # ip a
    1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1
        link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
        inet 127.0.0.1/8 scope host lo
           valid_lft forever preferred_lft forever

        none网络的应用:封闭的网络意味着隔离,一些对安全性要求高并且不需要联网的应用可以使用none 网络。比如某个容器的唯一用途是生成随机密码,就可以放到 none 网络中避免密码被窃取。

    当然大部分容器是需要网络的,我们接着看 host 网络。

    docker--host网络

        连接到host网络的容器,共享 docker host 的网络栈,容器的网络配置与host一样,可以通过 --network=host 指定使用host网络。

    [root@localhost ~]# docker run -it --network=host busybox
    / # ip a
    1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1
        link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
        inet 127.0.0.1/8 scope host lo
           valid_lft forever preferred_lft forever
        inet6 ::1/128 scope host 
           valid_lft forever preferred_lft forever
    2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast qlen 1000
        link/ether 00:0c:29:fa:cf:23 brd ff:ff:ff:ff:ff:ff
        inet 192.168.42.30/24 brd 192.168.42.255 scope global ens33
           valid_lft forever preferred_lft forever
        inet6 fe80::20c:29ff:fefa:cf23/64 scope link 
           valid_lft forever preferred_lft forever
    51: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue 
        link/ether 02:42:d4:ac:3b:55 brd ff:ff:ff:ff:ff:ff
        inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
           valid_lft forever preferred_lft forever
        inet6 fe80::42:d4ff:feac:3b55/64 scope link 
           valid_lft forever preferred_lft forever
    63: veth80d568f@if62: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue master docker0 
        link/ether 32:ed:04:82:f2:73 brd ff:ff:ff:ff:ff:ff
        inet6 fe80::30ed:4ff:fe82:f273/64 scope link 
           valid_lft forever preferred_lft forever
    67: veth6a18c66@if66: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue master docker0 
        link/ether 1e:84:3b:4c:9b:a4 brd ff:ff:ff:ff:ff:ff
        inet6 fe80::1c84:3bff:fe4c:9ba4/64 scope link 
           valid_lft forever preferred_lft forever
    69: veth049b197@if68: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue master docker0 
        link/ether 1e:f1:4b:c1:f6:ff brd ff:ff:ff:ff:ff:ff
        inet6 fe80::1cf1:4bff:fec1:f6ff/64 scope link 
           valid_lft forever preferred_lft forever
    71: vethed43fa8@if70: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue master docker0 
        link/ether c2:d3:b0:25:e4:88 brd ff:ff:ff:ff:ff:ff
        inet6 fe80::c0d3:b0ff:fe25:e488/64 scope link 
           valid_lft forever preferred_lft forever
    73: veth48839bd@if72: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue master docker0 
        link/ether 3e:5e:03:10:78:7d brd ff:ff:ff:ff:ff:ff
        inet6 fe80::3c5e:3ff:fe10:787d/64 scope link 
           valid_lft forever preferred_lft forever
    75: vethb9e42c7@if74: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue master docker0 
        link/ether ae:11:c9:bb:12:18 brd ff:ff:ff:ff:ff:ff
        inet6 fe80::ac11:c9ff:febb:1218/64 scope link 
           valid_lft forever preferred_lft forever
    79: veth04ba522@if78: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue master docker0 
        link/ether 3e:1d:14:5c:78:94 brd ff:ff:ff:ff:ff:ff
        inet6 fe80::3c1d:14ff:fe5c:7894/64 scope link 
           valid_lft forever preferred_lft forever

      在容器中可以看到 host 的所有网卡,并且连 hostname 也是 host 的。host网络的使用场景又是什么呢?

      直接使用 Docker host 的网络最大的好处就是性能,如果容器对网络传输效率有较高要求,就可以选择 host 网络。当然不便之处就是牺牲一些灵活性,比如要考虑端口冲突问题,Docker host上已经使用的端口就不能再用了。Docker host 的另一个用途是让容器可以直接配置 host 网路。比如某些跨host 的网络解决方案,其本身也是以容器方式运行的,这些方案需要对网络进行配置,比如管理 iptables。

    docker--bridge网络

    docker在安装时会创建一个docker0的linux bridge网桥,不指定网络会默认挂到docker0上。
    [root@localhost ~]# brctl show
    bridge name    bridge id        STP enabled    interfaces
    docker0        8000.0242d4ac3b55    no        veth049b197
    veth04ba522

    [root@localhost ~]# docker run -it --network=bridge busybox / # ip a 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever preferred_lft forever 80: eth0@if81: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue link/ether 02:42:ac:11:00:09 brd ff:ff:ff:ff:ff:ff inet 172.17.0.9/16 brd 172.17.255.255 scope global eth0 valid_lft forever preferred_lft forever

    veth04ba522与eth0@if81是一对veth pair。
    eth0@if34 已经配置了 IP 172.17.0.2的原因:bridge 网络配置的 subnet 就是 172.17.0.0/16,并且网关是 172.17.0.1,在docker0上。容器创建时,docker 会自动从 172.17.0.0/16 中分配一个 IP,这里 16 位的掩码保证有足够多的 IP 可以供容器使用
    [root@localhost ~]# docker network inspect bridge
    [
        {
            "Name": "bridge",
            "Id": "979fbb278d03596b502fb8d02d22d1e8fc42f6a8beb7602ba6eecb08bdf512ec",
            "Created": "2019-06-18T16:43:55.651454994+08:00",
            "Scope": "local",
            "Driver": "bridge",
            "EnableIPv6": false,
            "IPAM": {
                "Driver": "default",
                "Options": null,
                "Config": [
                    {
                        "Subnet": "172.17.0.0/16",
                        "Gateway": "172.17.0.1"
                    }
                ]

    创建 user--defined网络

      我们可以通过 bridge 创建类似前面默认的 bridge 网络。

      (1)利用bridge驱动创建名为my-net2网桥(docker会自动分配网段)

    [root@localhost ~]# docker network create --driver bridge my-net2
    b326209167c6dbb7e867659bbfa266615bf9312632fbdbaa83e35a5d48825867

      (2)查看当前网络结构变化

    [root@localhost ~]# docker network list
    NETWORK ID          NAME                DRIVER              SCOPE
    979fbb278d03        bridge              bridge              local
    e3852e4d242e        host                host                local
    b326209167c6        my-net2             bridge              local
    70b78b4570c6        none                null                local

      (3)查看容器bridge网桥配置(bridge就是容器和网桥形成一对veth pair)

    [root@localhost ~]# docker network inspect my-net2
    [
        {
            "Name": "my-net2",
            "Id": "b326209167c6dbb7e867659bbfa266615bf9312632fbdbaa83e35a5d48825867",
            "Created": "2019-06-18T19:41:51.182792345+08:00",
            "Scope": "local",
            "Driver": "bridge",
            "EnableIPv6": false,
            "IPAM": {
                "Driver": "default",
                "Options": {},
                "Config": [
                    {
                        "Subnet": "172.18.0.0/16",
                        "Gateway": "172.18.0.1"
                    }

      (4)利用bridge驱动创建名为my-net3网桥(user-defined网段及网关)

    [root@localhost ~]# docker network create --driver bridge --subnet 172.18.2.0/24 --gateway 172.18.2.1 my-net3
    Error response from daemon: Pool overlaps with other one on this address space   
    这是因为新创建的网络自定义的子网ip与已有的网络子网ip冲突。只需要重新定义子网ip段就可以。
    [root@localhost
    ~]# docker network create --driver bridge --subnet 172.20.2.0/24 --gateway 172.20.2.1 my-net3 f021bec39166a23f449dd04e17977f77ce0c817ae7c0e21d97431a0679375351

      (5)启动容器使用新建的my-net3网络

    [root@localhost ~]# docker run -it --network=my-net3 busybox /bin/sh
    / # ip a
    1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1
        link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
        inet 127.0.0.1/8 scope host lo
           valid_lft forever preferred_lft forever
    90: eth0@if91: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
        link/ether 02:42:ac:14:02:02 brd ff:ff:ff:ff:ff:ff
        inet 172.20.2.2/24 brd 172.20.2.255 scope global eth0
           valid_lft forever preferred_lft forever

      (6)启动容器使用my-net3网络并指定ip(只有使用 --subnet 创建的网络才能指定静态 IP,如果是docker自动分配的网段不可以指定ip)

    [root@localhost ~]# docker run -it --network=my-net3 --ip 172.20.2.120 busybox
    / # ip a
    1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1
        link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
        inet 127.0.0.1/8 scope host lo
           valid_lft forever preferred_lft forever
    92: eth0@if93: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
        link/ether 02:42:ac:14:02:78 brd ff:ff:ff:ff:ff:ff
        inet 172.20.2.120/24 brd 172.20.2.255 scope global eth0
           valid_lft forever preferred_lft forever

      (7)让已启动不同vlan的ningx容器,可以连接到my-net2(其实在nigx中新建了my-net2的网卡)

    [root@localhost ~]# docker run -itd --network=my-net3 busybox /bin/sh
    377f3157bfd48ef38997c0bf12fc86e0cf30a4fe42c50213ff1108854848df14
    [root@localhost ~]# docker network connect my-net2 377f3157bfd4
    [root@localhost ~]# docker exec -it 377f3157bfd4 /bin/sh
    / # ip a
    1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1
        link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
        inet 127.0.0.1/8 scope host lo
           valid_lft forever preferred_lft forever
    106: eth0@if107: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
        link/ether 02:42:ac:14:02:03 brd ff:ff:ff:ff:ff:ff
        inet 172.20.2.3/24 brd 172.20.2.255 scope global eth0
           valid_lft forever preferred_lft forever
    108: eth1@if109: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue 
        link/ether 02:42:ac:12:00:03 brd ff:ff:ff:ff:ff:ff
        inet 172.18.0.3/16 brd 172.18.255.255 scope global eth1
           valid_lft forever preferred_lft forever
    此容器同时拥有了net2和net3的子网ip。

      (8)使用--name指定启动容器名字,可以使用docker自带DNS通信,但只能工作在user-defined 网络,默认的 bridge 网络是无法使用 DNS 的.

    [root@localhost ~]# docker run -itd --network=my-net2 --name=b1 busybox
    9b3be1daeca760f6cc5eb62fbd4142c72efc3c07be5b70c56059da7946751101
    [root@localhost ~]# docker run -itd --network=my-net2 --name=b2 busybox
    ba94b2359471d16b6a8e12025c99245d1ab6af123b346641128f081b031d71bc
    [root@localhost ~]# docker exec -it b1 /bin/sh
    / # ping b2
    PING b2 (172.18.0.5): 56 data bytes
    64 bytes from 172.18.0.5: seq=0 ttl=64 time=0.150 ms
    
    [root@localhost ~]# docker exec -it b2 /bin/sh
    / # ping b1
    PING b1 (172.18.0.4): 56 data bytes
    64 bytes from 172.18.0.4: seq=0 ttl=64 time=0.059 ms

    在创建容器时使用相同网络,并且给容器命名。意思是给两个容器之间做了域名解析和配置相同网段,所以能ping通。

      (9)容器之间的网络互联

        a). 首先创建一个 db 容器

    [root@localhost ~]# docker run -itd --name db busybox

        b). 创一个 web 容器,并使其连接到 db  

    [root@localhost ~]# docker run -itd --name web --link db:dblink busybox /bin/sh

    -link db:dblink 实际是连接对端的名字和这个链接的名字,也就是和 db 容器 建立一个叫做 dblink 的链接 

        c).查看链接的情况

     [root@localhost ~]# docker ps -a
    CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS                      PORTS               NAMES
    141e370eea76        busybox             "/bin/sh"                8 seconds ago       Up 7 seconds                                    web
    9f89a1945f6b        busybox             "sh"                     54 seconds ago      Up 53 seconds                                   db 

        d)进入web容器,使用 ping 命令来测试网络链接的情况

    [root@localhost ~]# docker exec -it 141e370eea76 /bin/sh/ 
    # ping db PING db (172.17.0.4): 56 data bytes 64 bytes from 172.17.0.4: seq=0 ttl=64 time=0.445 ms
    发现可以ping通,连接有效

        e)尝试进入db容易,使用ping命令测试

    [root@localhost docker]# docker exec -it 9f89a1945f6b /bin/sh
    / # ping web
    ping: bad address 'web'
    发现无法ping通,因此可以推断出容器之间的网络连通是单向的,即哪个容器建立了连接,哪个容易才能连接到另一个容器,反之不行

      (10)容器端口映射 在启动容器的时候,如果不指定参数,在容器外部是没有办法通过网络来访问容 器内部的网络应用和服务的

    当容器需要通信时,我们可以使用 -P (大) &&-p (小)来指定端口映射

    -P : Docker 会随机映射一个 49000 ~ 49900 的端口到容器内部开放的网络端口

    p :则可以指定要映射的端口,并且在一个指定的端口上只可以绑定一个容器。

    支持的格式有

    iP : HostPort  : ContainerPort

    IP : : ContainerPort

    IP : HostPort :

    如果不指定就随机

    查看映射

    docker port 容器名

    拓展:用脚本删除所有容器

    [root@localhost docker]# for id in `docker ps -a | grep a | awk -F " +" '{print $1}'` ;do docker rm -f $id ;done

        a)映射所有接口地址,此时绑定本地所有接口上的 5000 到容器的 5000 接口, 访问任何一个本地接口的 5000 ,都会直接访问到容器内部

    docker run -dti -p 5000:5000 nginx /bin/bash

        b)多次使用可以实现多个接口的映射

    [root@localhost docker]# docker run -itd -p 5000:22 -p 5001:23 nginx /bin/bash

     查看容器信息,发现新容器的的22,23端口都映射到了宿主机的5000和5001端口。

    [root@localhost docker]# docker ps -a
    CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS                         PORTS                                                NAMES
    ea3b9412d96d        nginx               "/bin/bash"              5 seconds ago       Up 5 seconds                   80/tcp, 0.0.0.0:5000->22/tcp, 0.0.0.0:5001->23/tcp   hardcore_darwin
    

        c)映射到指定地址的指定接口 此时会绑定本地 192.168.4.169 接口上的 5000 到容器的80 接口

     docker run -dti -p 192.168.253.9:5000:80 nginx /bin/bash

     
    [root@localhost docker]#  docker run -dti -p 192.168.253.9:5000:80 nginx /bin/bash
    [root@localhost docker]# docker ps -a CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 132746ef0996 nginx "/bin/bash" About a minute ago Up About a minute 192.168.253.9:5000->80/tcp practical_lichterman

        d) 映射到指定地址的任意接口 此时会绑定本地 192.168.4.169 接口上的任意一个接口到容器的 5000 接口

    docker run -dti -p 192.168.4.169::5000 nginx /bin/bash

         e) 使用接口标记来指定接口的类型

    docker run -dti -p 192.168.4.169::5000/UDP nginx /bin/bash

     指定接口位udp类型

      (11)实验:通过端口映射实现访问本地的 IP:PORT 可以访问到容器内的 web

         a)将容器80端口映射到主机8080端口,注意末尾不要加环境变量

    docker run -itd -p 80:80 --name nginx nginx:latest    

        b) 查看刚运行docker

    docker ps -a

    [root@localhost docker]# docker ps -a
    CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS                     PORTS                NAMES
    0382dfbbd606        nginx:latest        "nginx -g 'daemon of…"   5 seconds ago       Up 4 seconds               0.0.0.0:80->80/tcp   nginx

        c) 进入容器

    docker exec -it nginx /bin/sh,并在 容器内部编辑网页文件 index.html

    # cd /usr/share/nginx/
    # ls
    html
    # cd html   
    # ls
    50x.html  index.html
    # echo '123' > index.html

        d)到宿主机上打开浏览器输入 IP:PORT 访问验证

    http://192.168.253.9:80

     

    一些报错:

    1)[root@localhost /]# docker run -itd --name busy busybox:latest /bin/bash
    e105747eb16e52da2637379d75e221f46812955c929696234abbf1321fd56da3
    docker: Error stat /bin/bash: no such file or directory": unknown

    这是因为环境变量不可用,换成/bin/sh或者不加环境变量

    2)[root@localhost /]# docker run -itd --name busy busybox:latest /bin/sh
    docker: Error response from daemon: Conflict. The container name "/busy" is already in use by container "e105747eb16e52da2637379d75e221f46812955c929696234abbf1321fd56da3". You have to remove (or rename) that container to be able to reuse that name.

    这是因为容器名已经存在,需要删除已经存在的容器名

    3)[root@localhost /]# docker network create --driver bridge my-net2
    Error networks have overlapping IPv4

    这是因为网桥冲突,删除冲突的网桥。
    brctl delbr 网桥
    systemctl restart docker

    4)error:executable file not found in $PATH": unknown
    这是因为命令的顺序错误

    5)root@localhost /]# docker run -it --network=my-net3 --ip 192.168.253.13 busybox:latest /bin/sh
    docker: Error response from daemon: Invalid address 192.168.253.13: It does not belong to any of this network's subnets.
    这是因为自定义的ip不在可使用ip的范围内。

    6)Error No chain/target/match by that name.
    这是因为没有重启docker,或者关闭firewalld和iptables(不建议)

    7)docker: Error response from daemon: driver failed programming external connectivity on endpoint vibrant_kepler (0838e9c00e2ffcec24bbd333000cc4de9bd0fa2420c1c330ddb77dfd9d1d534f): Bind for 192.168.253.9:5000 failed: port is already allocated.

    这是因为宿主机的端口已经被别的服务占用。

    8)宿主机映射到容器之后,使用宿主机ip:port来访问容器的httpd或者nginx服务

    报错连接被拒绝

    这是因为端口映射的时候加入了环境变量,去掉环境变量即可。

    网络排查命令:

    iptables -t nat -L

    ip r

    tcpdump -i docker0 -n icmp

    tcpdump -i eth0 -n icmp

      

  • 相关阅读:
    常用正则表达式
    在过滤器中设置一个应用范围内的路径
    在过滤器中设置一个应用范围内的路径
    shell編程之遠程開啓多個機器的ElasticSearch
    shell之CMD的使用,是用` `還是" "?
    shell編程之自動化集群搭建並啓動
    shell編程之權限
    登录用户出现‘’-bash-4.2$‘’的问题解决
    locate: can not open `/var/lib/mlocate/mlocate.db': No such file or directory
    Spring之mvc應用(包含aop)
  • 原文地址:https://www.cnblogs.com/daisyyang/p/11047452.html
Copyright © 2011-2022 走看看