Docker网络模型实战解析：基于Pets应用的三大网络驱动对比

Docker网络模型实战解析：基于Pets应用的三大网络驱动对比

dockerlabs Docker - Beginners | Intermediate | Advanced 项目地址: https://gitcode.com/gh_mirrors/do/dockerlabs

前言

在现代容器化应用中，网络连接是至关重要的基础架构组成部分。本文将基于一个名为Pets的示例应用，深入剖析Docker中三种核心网络驱动模型：Bridge、Overlay和MACVLAN。通过实际案例演示，帮助开发者理解不同网络模型的适用场景及实现方式。

Pets应用架构概述

Pets应用是一个典型的两层Web应用，由以下组件构成：

1. 前端Web服务：基于Python Flask框架构建，负责展示宠物图片
2. 后端数据库：使用Redis实现，记录页面访问次数

应用通过两个环境变量进行配置：

• DB：指定后端数据库的主机名和端口
• ROLE：确定应用租户类型（显示猫或狗图片）

网络驱动模型详解

1. Bridge驱动模型

Bridge是Docker默认的网络驱动，它在宿主机内部创建一个私有网络，并通过端口映射提供外部访问能力。

单机部署示例

# 创建用户定义的bridge网络
docker network create -d bridge catnet

# 在后端网络启动Redis容器
docker run -d --net catnet --name cat-db redis

# 启动前端Web容器并映射端口
docker run -d --net catnet -p 8000:5000 -e 'DB=cat-db' -e 'ROLE=cat' chrch/web

关键特性：

• 容器间通过容器名称自动DNS解析
• 端口映射通过-p参数指定（可限定绑定IP）
• 默认分配172.19.0.0/16范围的IP地址

多主机部署方案

在多主机环境下，需要显式配置服务发现：

# 主机A运行Web前端
host-A $ docker run -d -p 8000:5000 -e 'DB=host-B:8001' -e 'ROLE=cat' --name cat-web chrch/web

# 主机B运行Redis后端
host-B $ docker run -d -p 8001:6379 redis

通信流程：

1. Web容器请求host-B:8001
2. 主机A解析host-B地址
3. 流量通过主机A IP进行MASQUERADE
4. 外部网络路由到主机B的8001端口
5. NAT转换到Redis容器的6379端口

适用场景

• 开发测试环境
• 单机生产部署
• 需要简单架构的场景

2. Overlay驱动模型

Overlay网络提供原生的多主机连接能力，内置服务发现和负载均衡功能，是Swarm集群的理想选择。

基础部署

# 创建Overlay网络
docker network create -d overlay --subnet 10.1.0.0/24 --gateway 10.1.0.1 dognet

# 部署后端服务
docker service create --network dognet --name dog-db redis

# 部署前端服务并暴露端口
docker service create --network dognet -p 8000:5000 -e 'DB=dog-db' -e 'ROLE=dog' --name dog-web chrch/web

核心优势：

• 路由网格(Routing Mesh)在所有节点暴露服务端口
• 内置DNS服务发现
• 容器间所有TCP/UDP端口自动可达

多租户网络隔离

# 创建第二个Overlay网络
docker network create -d overlay --subnet 10.2.0.0/24 --gateway 10.2.0.1 catnet

# 部署cat租户服务
docker service create --network catnet --name cat-db redis
docker service create --network catnet -p 9000:5000 -e 'DB=cat-db' -e 'ROLE=cat' --name cat-web chrch/web

# 部署可访问双网络的管理服务
docker service create --network dognet --network catnet -p 7000:5000 -e 'DB1=dog-db' -e 'DB2=cat-db' --name admin chrch/admin

网络策略：

• dog服务组内部互通，与cat服务隔离
• cat服务组内部互通，与dog服务隔离
• admin服务可访问所有网络

适用场景

• 多主机集群部署
• 需要服务自动发现的场景
• 东西向流量微隔离需求
• 集群范围的服务发布

3. MACVLAN桥接模式

MACVLAN允许容器直接获取底层网络的IP地址，提供近乎裸机的网络性能。

部署示例

# 在两台主机上创建MACVLAN网络
host-A $ docker network create -d macvlan --subnet 192.168.0.0/24 --gateway 192.168.0.1 -o parent=eth0 macvlan
host-B $ docker network create -d macvlan --subnet 192.168.0.0/24 --gateway 192.168.0.1 -o parent=eth0 macvlan

# 主机A运行Web容器
host-A $ docker run -it --net macvlan --ip 192.168.0.4 -e 'DB=dog-db' -e 'ROLE=dog' --name dog-web chrch/web

# 主机B运行DB容器
host-B $ docker run -it --net macvlan --ip 192.168.0.5 --name dog-db redis

关键特点：

• 每个容器获得唯一MAC地址
• IP地址直接来自物理网络
• 无NAT转换，超低延迟
• 需要严格管理IP地址分配

适用场景

• 超低延迟应用
• 需要直接路由IP的场景
• 已有完善IPAM管理的环境

对比总结

| 特性 | Bridge驱动 | Overlay驱动 | MACVLAN驱动 | |---------------|-----------------|-----------------|----------------| | 跨主机通信 | 需手动配置 | 原生支持 | 依赖底层网络 | | 服务发现 | 单机DNS | 集群范围DNS | 需外部方案 | | 网络隔离 | 网络级别 | 网络级别 | 网络级别 | | 性能 | 中等(NAT转换) | 中等(封装开销) | 高(无转换) | | IPAM管理 | 自动分配 | 自动分配 | 需严格管理 | | 适用场景 | 开发/单机生产 | 集群部署 | 高性能需求 |

结语

Docker网络生态系统持续快速发展，为各种应用场景提供了灵活的解决方案。理解不同网络模型的特点和适用场景，是构建可靠容器化应用的关键。无论是简单的开发环境还是复杂的生产部署，合理选择网络驱动都能显著提升应用的性能和可管理性。

在实际应用中，建议从简单模型开始，随着需求复杂度的提升逐步评估更高级的网络方案。网络策略的制定应当综合考虑性能需求、安全要求和运维复杂度等因素，才能构建出既高效又可靠的容器网络架构。

dockerlabs Docker - Beginners | Intermediate | Advanced 项目地址: https://gitcode.com/gh_mirrors/do/dockerlabs