47、Docker网络与Open Policy Agent：深入解析与实践

Docker网络与Open Policy Agent：深入解析与实践

1. Docker网络基础

1.1 Docker服务创建与Swarm

docker service create 命令除了基本参数外，还接受其他参数，可通过 docker service create --help 查看。例如，以下命令要求Swarm创建5个 hello-world 服务的副本：

docker service create –name hello-service –replicas 5 hello-world

1.2 Docker网络实现

Docker容器拥有独立的网络栈，这得益于Linux内核的NET命名空间。Docker网络基于Go语言编写的 libnetwork 开源库和容器网络模型（CNM）实现。CNM定义了三个核心构建块：沙箱（sandbox）、端点（endpoint）和网络（network）。
- 沙箱（Sandbox） ：是对隔离网络配置的抽象，每个容器都有自己的网络沙箱，包含路由表、防火墙规则和DNS配置，通过NET命名空间实现。
- 端点（Endpoint） ：代表网络接口，每个沙箱都有自己的一组端点，用于连接沙箱和网络。
- 网络（Network） ：一组需要相互通信的端点构成一个网络。