Docker 容器的网络模式

简介

docker 默认提供了四种模式，供容器启动的时候选择：bridge、none、container、host。前一篇文章已经介绍了 bridge 模式，这篇文章就介绍剩下的三种模式，已经它们可能的使用场景。

测试环境

说明一下这篇文章中所有测试的基本配置和环境信息：

所有测试都是运行在 Mac 上的 virtualbox 虚拟机中，使用 docker toolbox 管理 docker 主机，使用说明可以参考之前的文章。

• Mac OS
• virtualbox 5.0.20
• docker 1.11.2

先创建一台主机：

这台主机的网络信息如下：

除了有 eth0 和 eth1 之外，还有用来管理容器网络的 docker0 。

下面所有的容器都是运行在这台主机上的！

host 模式

在这个模式下，docker 不会为容器创建单独的网络 namespace，而是共享主机的 network namespace，也就是说：容器可以直接访问主机上所有的网络信息。

让容器运行在 host 模式很简单：启动容器的命令行添加 --net=host 参数就搞定了！

我们来看一下容器的网络配置，发现和之前主机上看到的一模一样：

那么应用场景呢？既然是共享了网络，自然也就是容器需要直接使用到主机网络的情况，比如启动一个 tcpdump 的容器 抓取主机上的网络报文:

这种模式最大的缺点是：容器都是直接共享主机网络空间的，如果出现任何的网络冲突都会出错，比如 在这个模式下无法启动两个都监听在 80 端口的容器 。

container 模式

这个模式下，一个容器直接使用另外一个已经存在容器的网络配置：ip 信息和网络端口等所有网络相关的信息都是共享的。 需要注意的是：这两个容器的计算和存储资源还是隔离的。

kubernetes 的 pod 就是用这个实现的，同一个 pod 中的容器共享一个 network namespace。

这个试验中，我们会运行两个 nginx 容器：web1 和 web2：

• web1 监听在 80 端口，使用默认的网络模型
• web2 坚挺在 8080 端口，使用 container 网络模型共享 web1 的网络

先启动 web1，通过 port mapping 把端口绑定到主机上：

使用 curl 命令验证容器运行正常：

看一下里面的网络配置：

第二个容器也是 nginx 容器，不同的是：它监听在 8080 端口。我们直接使用 -v 参数来覆盖掉 nginx 的配置文件，达到监听不同端口的效果。和 host 模式相同，使用 --net 参数让新建的容器使用 web1 的网络：

default.conf 文件就是修改了 nginx 默认配置文件的端口，把它变成 8080； inedx.html 可以随便修改一点，以区别于默认的内容。

如果执行上面命令的话，docker 会报错：

提示端口转发不能和 container 模式一起使用，删除 -p 8080:8080 重新运行，一起正常。但是无法从主机上直接访问 web2 的服务，因为服务端口没有被转发出来：

进入到 web2 中，可以看到网络配置和 web1 一致：

在容器里面可以验证 nginx 服务是正常的：

为什么 web2 容器不允许端口转发呢？当然出于安全和权限控制的角度，不然的话，一个正在运行的容器网络配置可以被任意一个容器修改，这是很危险的行为。那怎么把 web2 的服务转发出来呢？答案是通过 web1 ：因为它们两个的网络是共享的。我们需要在运行 web1 的时候就指定好所有要映射出来的端口。

把之前的容器删除，按照下面的命令重新运行就搞定了：

那么这种网络模式的应用场景是什么呢？我们还是从特性出发：两个或多个容器共享一个网络空间，包括 ip 和端口等信息。可以类比这种模型到传统虚拟机上面运行的多个应用：多个服务，但是它们共享机器的网络。比如：有一个应用提供 API，另一个应用是它的命令行工具，那么后者可以共享前者的网络。用户只需要访问命令行工具，不用直接和 HTTP 打交道。

none 模式

这种模式正如它的名字说明的那样：不做配置。 容器有自己的 network namespace，但是没有做任何的网络配置 。

选择这种模式，一般是用户对网络有自己特殊的需求，不希望 docker 预设置太多的东西。

其他

link 模式

docker 还提供了 link 模式，让容器之间能够通过名称访问。通过设置环境变量和修改 /etc/hosts 文件实现的，算是本地的服务发现机制吧。

不过自从 docker 1.9 网络模型出来之后（可以看看到这个 issue 了解网络模型提出来的背景），这个特性会用到的越来越少。

参考资料

• DockOne技术分享（五）：Docker网络详解及Libnetwork前瞻
• docker 网络模型初次被提出来的 issue

以上原文全文转载自:http://www.qingpingshan.com/m/view.php aid=96632

---

如您从本文得到了有价值的信息或帮助，请考虑扫描文末二维码捐赠和鼓励。

---

如本文对您有用，捐赠和留言 将是对我最好的支持~（捐赠可转为站内积分）
如愿意，请向朋友推荐本站，谢谢。

尊重他人劳动成果。转载请务必附上原文链接，我将感激不尽。

---

与《Docker 容器的网络模式》相关的博文：

• Docker 不同容器之间端口通信
• Docker容器存放目录磁盘空间已满如何处理
• Docker 容器内部获取自身容器id方法
• Docker Registry Frontend请求8080端口REST API而不是5000导致前台无任何镜像列出
• Docker如何重命名容器