Docker网络

Docker网络

Docker本身的技术依赖于Linux内核虚拟化技术的发展。所以Docker对Linux内核的特性有很强的依赖。本章主要介绍Docker所使用的Linux网络技术。

网络基础

其中Docker使用到的与Linux网络有关的技术分别有：网络名称空间、Veth、Iptables、网桥、路由。

网络名称空间

为了支持网络协议栈的多个实例，Linux在网络协议栈中引入了网络名称空间(Network Namespace)，这些独立的协议栈被隔离到不同的命名空间中。处于不同的命名空间的网络协议栈是完全隔离的，彼此之间无法进行网络通信，就好像两个“平行宇宙”。通过这种对网络资源的隔离，就能在一个宿主机上虚拟多个不同的网络环境，而Docker正是利用这种网络名称空间的特性，实现了不同容器之间的网络隔离。在Linux的网络命名空间内可以有自己独立的Iptables来转发、NAT及IP包过滤等功能。

Linux的网络协议栈是十分复杂的，为了支持独立的协议栈，相关的这些全局变量都必须修改为协议栈私有。最好的办法就是让这些全局变量成为一个Net Namespace变量的成员，然后为了协议栈的函数调用加入一个Namespace参数。这就是Linux网络名称空间的核心。所以的网络设备都只能属于一个网络名称空间。当然，通常的物理网络设备只能关联到root这个命名空间中。虚拟网络设备则可以被创建并关联到一个给定的命名空间中，而且可以在这些名称空间之间移动。

• 创建一个命名空间

[root@instance-gvpb80ao docs]# ip netns add test01
[root@instance-gvpb80ao docs]# ip netns add test02
[root@instance-gvpb80ao docs]# ip netns list
test02
test01Copy to clipboardErrorCopied

Veth设备

引入Veth设备对是为了在不同的网络名称空间之间进行通信，利用它可以直接将两个网络名称空间链接起来。由于要连接的两个网络命名空间，所以Veth设备是成对出现的，很像一对以太网卡，并且中间有一根直连的网线。既然是一对网卡，那么我们将其中一端称为另一端的peer。在Veth设备的一端发送数据时，它会将数据直接发送到另一端，并触发另一端的接收操作。

Veth设备操作

• 创建Veth设备对

[root@instance-gvpb80ao docs]# ip link add veth type veth peer name veth001
[root@instance-gvpb80ao docs]# ip link show
322: veth001@veth: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 0e:f1:bc:38:47:dc brd ff:ff:ff:ff:ff:ff
323: veth@veth001: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 4a:1f:13:ef:9e:95 brd ff:ff:ff:ff:ff:ffCopy to clipboardErrorCopied

生成了两个veth设备， 互为对方的peer

• 绑定命名空间

[root@instance-gvpb80ao docs]# ip link set veth001 netns test01
[root@instance-gvpb80ao docs]# ip link show | grep veth
323: veth@if322: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000Copy to clipboardErrorCopied

已经查看不到veth001，当我们进入test01命名空间之后，就可以查看到

[root@instance-gvpb80ao docs]# ip netns exec test01 bash
[root@instance-gvpb80ao docs]# ip link show
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
322: veth001@if323: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 0e:f1:bc:38:47:dc brd ff:ff:ff:ff:ff:ff link-netnsid 0Copy to clipboardErrorCopied

• 将Veth分配IP

[root@instance-gvpb80ao docs]# ip netns exec test01 ip addr add 172.16.0.111/20 dev veth001
[root@instance-gvpb80ao docs]# ip netns exec test01 ip link set dev veth001 up
[root@instance-gvpb80ao docs]# ip netns exec test01 ip a
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
322: veth001@if323: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state LOWERLAYERDOWN group default qlen 1000
    link/ether 0e:f1:bc:38:47:dc brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 172.16.0.111/20 scope global veth001
       valid_lft forever preferred_lft foreverCopy to clipboardErrorCopied

这个时候双方就同了。

• 查看对端Veth设备

[root@instance-gvpb80ao docs]# ip netns exec test01 ethtool -S veth001
NIC statistics:
     peer_ifindex: 323
[root@instance-gvpb80ao docs]# ip a | grep 323
323: veth@if322: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000Copy to clipboardErrorCopied

• 为对端Veth设备设置IP

[root@instance-gvpb80ao docs]# ip addr add 172.16.0.112/20 dev veth
[root@instance-gvpb80ao docs]# ip link set dev veth down
[root@instance-gvpb80ao docs]# ip link set dev veth up
[root@instance-gvpb80ao docs]# ping 172.16.0.111
PING 172.16.0.111 (172.16.0.111) 56(84) bytes of data.
64 bytes from 172.16.0.111: icmp_seq=1 ttl=64 time=0.061 ms
64 bytes from 172.16.0.111: icmp_seq=2 ttl=64 time=0.074 ms
^C
--- 172.16.0.111 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 999ms
rtt min/avg/max/mdev = 0.061/0.067/0.074/0.010 ms
[root@instance-gvpb80ao docs]# ping 172.16.0.112
PING 172.16.0.112 (172.16.0.112) 56(84) bytes of data.
64 bytes from 172.16.0.112: icmp_seq=1 ttl=64 time=0.048 ms
64 bytes from 172.16.0.112: icmp_seq=2 ttl=64 time=0.064 ms
64 bytes from 172.16.0.112: icmp_seq=3 ttl=64 time=0.055 msCopy to clipboardErrorCopied

网桥

Linux 可以支持多个不同的网络，它们之间能够相互通信，就需要一个网桥。 网桥是二层的虚拟网络设备，它是把若干个网络接口“连接”起来，从而报文能够互相转发。网桥能够解析收发的报文，读取目标 MAC 地址的信息，和自己记录的 MAC 表结合，来决定报文的转发目标网口。

网桥设备 brO 绑定了 eth0、 eth1 。对于网络协议械的上层来说，只看得到 brO 。因为桥接是在数据链路层实现的 ，上层不需要关心桥接的细节，于是协议枝上层需要发送的报文被送到 brO ，网桥设备的处理代码判断报文该被转发到 ethO 还是 ethl ，或者两者皆转发。反过来，从 ethO 或从 ethl 接收到的报文被提交给网桥的处理代码，在这里会判断报文应该被转发、丢弃还是提交到协议枝上层。 而有时 ethl 也可能会作为报文的源地址或目的地址 直接参与报文的发送与接收，从而绕过网桥。

Iptables

我们知道， Linux 络协议樵非常高效，同时比较复杂 如果我们希望在数据的处理过程中对关心的数据进行一些操作该怎么做呢？ Linux 提供了一套机制来为用户实现自定义的数据包处理过程。

在Linux网络协议棋中有一组回调函数挂接点，通过这些挂接点挂接的钩子函数可以在Linux 网络棋处理数据包的过程中对数据包进行 些操作，例如过滤、修改、丢弃等 整个挂接点技术叫作 Netfilter lptables

Netfilter 负责在内核中执行各种挂接的规则，运行在内核模式中：而 lptables 是在用户模式下运行的进程，负责协助维护内核中 Netfilter 的各种规则表 通过 者的配合来实现整个 Linux网络协议战中灵活的数据包处理机制。

总结

设备	作用总结
network namespace	主要提供了关于网络资源的隔离，包括网络设备、IPv4和IPv6协议栈、IP路由表、防火墙、/proc/net目录、/sys/class/net目录、端口（socket）等。
linux Bridge	功能相当于物理交换机，为连在其上的设备（容器）转发数据帧。如docker0网桥。
iptables	主要为容器提供NAT以及容器网络安全。
veth pair	两个虚拟网卡组成的数据通道。在Docker中，用于连接Docker容器和Linux Bridge。一端在容器中作为eth0网卡，另一端在Linux Bridge中作为网桥的一个端口。