docker的四种网络模式_nextcloud docker socket proxy-优快云博客

本文链接：https://blog.youkuaiyun.com/hwjos/article/details/112271777

本文详细介绍了Docker的四种网络模式：Bridge（桥接）、Host、Container和None。Bridge模式是默认设置，通过Docker网桥实现容器间的通信；Host模式下，容器直接使用宿主机网络；Container模式让容器共享另一个容器的网络；None模式则不提供任何网络环境。此外，还讨论了容器间通信、端口映射以及网络安全配置，强调了Docker网络在容器互联和隔离方面的作用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

docker的四种网络模式

实现原理

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

Docker容器间通信

容器每次启动时会分配个一个IP地址，这个IP地址只在宿主主机内部有用，其它主机上的程序无法访问此IP
一台机器上的docker容器之间默认是可以通过分配的IP进行通信的，可以通过启动参数 -icc=false —iptables=true 来关闭互通，严格隔离以提高安全性
虽然每次启动分配的IP可能会变，但启动时加类似 —link redis:db 这样的参数给容器起别名，可以起到DNS作用，原理是在 /etc/hosts 里面映射IP到别名，这样你的程序和其他容器通信就可以不用管IP，用别名，IP变但它不会变
link只支持单主机，跨主机link最早的方案是Ambassador(docker远程代理)，每台主机启动一个Ambassador容器负责对主机上其它容器的网络转发(socket proxy)，后演变成 github.com/gliderlabs/connectable
手动处理容器间通信很麻烦，一般用编排工具：kubernetes、swarm…

docker容器网络

Docker在安装后自动提供3种网络，可以使用docker network ls命令查看

[root@localhost ~]# docker network ls
NETWORK ID     NAME      DRIVER    SCOPE
86cb7ef9a498   bridge    bridge    local
9ea4aec27884   host      host      local
5318e5a6c468   none      null      local

我们在使用docker run创建Docker容器时，可以用–net选项指定容器的网络模式，Docker有以下4种网络模式：

模式	配置
host模式	使用–net=host指定。
container模式	使用–net=container:NAME_or_ID指定。
none模式	使用–net=none指定。
bridge模式	使用–net=bridge指定，默认设置。

docker容器类型
在这里插入图片描述

Bridge 桥接模式（默认的网络设置）

当docker服务启动会在主机创建docker0网桥并将一个主机上的Docker容器连接到一个虚拟网桥上,每个容器都有自己的网络命名空间，所有容器都在同一个网段内，所以容器间是可以直接通讯的

[root@localhost ~]# ip a
3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:51:99:b5:0a brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
    inet6 fe80::42:51ff:fe99:b50a/64 scope link 

//运行nginx 端口映射
[root@localhost ~]# docker run --rm -it -p80:80 nginx



//使用iptables -t nat -vnL查看规则
[root@localhost ~]# iptables -t nat -nvL
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     all  --  *      *       0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL
    
Chain DOCKER (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0           
    0     0 DNAT       tcp  --  !docker0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.17.0.3:80

bridge模式示意图
在这里插入图片描述