作者主页： 正函数的个人主页
文章收录专栏： Docker
欢迎大家点赞 ?? 收藏 ? 加关注哦！
高级网络配置
注意：本章属于
Docker 高级配置，如果您是初学者，您可以暂时跳过本章节，直接学习 Docker Compose 一节。
本章将介绍 Docker 的一些高级网络配置和选项。
当 Docker 启动时，会自动在主机上创建一个
同时，Docker 随机分配一个本地未占用的私有网段（在 RFC1918 中定义）中的一个地址给
当创建一个 Docker 容器的时候，同时会创建了一对
接下来的部分将介绍在一些场景中，Docker 所有的网络定制配置。以及通过 Linux 命令来调整、补充、甚至替换 Docker 默认的网络配置。
一、快速配置指南
下面是一个跟 Docker 网络相关的命令列表。
其中有些命令选项只有在 Docker 服务启动的时候才能配置，而且不能马上生效。
-b BRIDGE 或--bridge=BRIDGE 指定容器挂载的网桥--bip=CIDR 定制 docker0 的掩码-H SOCKET... 或--host=SOCKET... Docker 服务端接收命令的通道--icc=true|false 是否支持容器之间进行通信--ip-forward=true|false 请看下文容器之间的通信--iptables=true|false 是否允许 Docker 添加 iptables 规则--mtu=BYTES 容器网络中的 MTU
下面2个命令选项既可以在启动服务时指定，也可以在启动容器时指定。在 Docker 服务启动的时候指定则会成为默认值，后面执行
--dns=IP_ADDRESS... 使用指定的DNS服务器--dns-search=DOMAIN... 指定DNS搜索域
最后这些选项只有在
-h HOSTNAME 或--hostname=HOSTNAME 配置容器主机名--link=CONTAINER_NAME:ALIAS 添加到另一个容器的连接--net=bridge|none|container:NAME_or_ID|host 配置容器的桥接模式-p SPEC 或--publish=SPEC 映射容器端口到宿主主机-P or --publish-all=true|false 映射容器所有端口到宿主主机
二、容器访问控制
容器的访问控制，主要通过 Linux 上的
容器访问外部网络
容器要想访问外部网络，需要本地系统的转发支持。在Linux 系统中，检查转发是否打开。
$sysctl net.ipv4.ip_forward net.ipv4.ip_forward = 1
如果为 0，说明没有开启转发，则需要手动打开。
$sysctl -w net.ipv4.ip_forward=1
如果在启动 Docker 服务的时候设定
容器之间访问
容器之间相互访问，需要两方面的支持。
- 容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到
docker0 网桥上。 - 本地系统的防火墙软件 –
iptables 是否允许通过。
访问所有端口
当启动 Docker 服务（即 dockerd）的时候，默认会添加一条转发策略到本地主机 iptables 的 FORWARD 链上。策略为通过（
可见，默认情况下，不同容器之间是允许网络互通的。如果为了安全考虑，可以在
访问指定端口
在通过
例如，在启动 Docker 服务时，可以同时使用
此时，系统中的
$ sudo iptables -nL ... Chain FORWARD (policy ACCEPT) target prot opt source destination DROP all -- 0.0.0.0/0 0.0.0.0/0 ...
之后，启动容器（
当添加了
$ sudo iptables -nL ... Chain FORWARD (policy ACCEPT) target prot opt source destination ACCEPT tcp -- 172.17.0.2 172.17.0.3 tcp spt:80 ACCEPT tcp -- 172.17.0.3 172.17.0.2 tcp dpt:80 DROP all -- 0.0.0.0/0 0.0.0.0/0
注意：
三、映射容器端口到宿主主机的实现
默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器。
容器访问外部实现
容器所有到外部网络的连接，源地址都会被 NAT 成本地系统的 IP 地址。这是使用
查看主机的 NAT 规则。
$ sudo iptables -t nat -nL ... Chain POSTROUTING (policy ACCEPT) target prot opt source destination MASQUERADE all -- 172.17.0.0/16 !172.17.0.0/16 ...
其中，上述规则将所有源地址在
外部访问容器实现
容器允许外部访问，可以在
不管用那种办法，其实也是在本地的
使用
$ iptables -t nat -nL ... Chain DOCKER (2 references) target prot opt source destination DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:49153 to:172.17.0.2:80
使用
$ iptables -t nat -nL Chain DOCKER (2 references) target prot opt source destination DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 to:172.17.0.2:80
注意：
-
这里的规则映射了
0.0.0.0 ，意味着将接受主机来自所有接口的流量。用户可以通过-p IP:host_port:container_port 或-p IP::port 来指定允许访问容器的主机上的 IP、接口等，以制定更严格的规则。 -
如果希望永久绑定到某个固定的 IP 地址，可以在 Docker 配置文件
/etc/docker/daemon.json 中添加如下内容。
{
"ip": "0.0.0.0"
}
四、配置 docker0 网桥
Docker 服务默认会创建一个
Docker 默认指定了
--bip=CIDR IP 地址加掩码格式，例如 192.168.1.5/24--mtu=BYTES 覆盖默认的 Docker mtu 配置
也可以在配置文件中配置 DOCKER_OPTS，然后重启服务。
由于目前 Docker 网桥是 Linux 网桥，用户可以使用
$ sudo brctl show
bridge name bridge id STP enabled interfaces
docker0 8000.3a1d7362b4ee no veth65f9
vethdda6
*注：
每次创建一个新容器的时候，Docker 从可用的地址段中选择一个空闲的 IP 地址分配给容器的 eth0 端口。使用本地主机上
$ sudo docker run -i -t --rm base /bin/bash
$ ip addr show eth0
24: eth0: <BROADCAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
link/ether 32:6f:e0:35:57:91 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.3/16 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::306f:e0ff:fe35:5791/64 scope link
valid_lft forever preferred_lft forever
$ ip route
default via 172.17.42.1 dev eth0
172.17.0.0/16 dev eth0 proto kernel scope link src 172.17.0.3
五、自定义网桥
除了默认的
在启动 Docker 服务的时候，使用
如果服务已经运行，那需要先停止服务，并删除旧的网桥。
$ sudo systemctl stop docker $ sudo ip link set dev docker0 down $ sudo brctl delbr docker0
然后创建一个网桥
$ sudo brctl addbr bridge0 $ sudo ip addr add 192.168.5.1/24 dev bridge0 $ sudo ip link set dev bridge0 up
查看确认网桥创建并启动。
$ ip addr show bridge0
4: bridge0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state UP group default
link/ether 66:38:d0:0d:76:18 brd ff:ff:ff:ff:ff:ff
inet 192.168.5.1/24 scope global bridge0
valid_lft forever preferred_lft forever
在 Docker 配置文件
{
"bridge": "bridge0",
}
启动 Docker 服务。
新建一个容器，可以看到它已经桥接到了
可以继续用
六、工具和示例
在介绍自定义网络拓扑之前，你可能会对一些外部工具和例子感兴趣：
pipework
Jér?me Petazzoni 编写了一个叫 pipework 的 shell 脚本，可以帮助用户在比较复杂的场景中完成容器的连接。
playground
Brandon Rhodes 创建了一个提供完整的 Docker 容器网络拓扑管理的 Python库，包括路由、NAT 防火墙；以及一些提供
七、编辑网络配置文件
Docker 1.2.0 开始支持在运行中的容器里编辑
但是这些修改是临时的，只在运行的容器中保留，容器终止或重启后并不会被保存下来，也不会被
八、配置 HTTP/HTTPS 网络代理
使用Docker的过程中，因为网络原因，通常需要使用 HTTP/HTTPS 代理来加速镜像拉取、构建和使用。下面是常见的三种场景。
为 dockerd 设置网络代理
“docker pull” 命令是由 dockerd 守护进程执行。而 dockerd 守护进程是由 systemd 管理。因此，如果需要在执行 “docker pull” 命令时使用 HTTP/HTTPS 代理，需要通过 systemd 配置。
- 为 dockerd 创建配置文件夹。
sudo mkdir -p /etc/systemd/system/docker.service.d
- 为 dockerd 创建 HTTP/HTTPS 网络代理的配置文件，文件路径是 /etc/systemd/system/docker.service.d/http-proxy.conf 。并在该文件中添加相关环境变量。
[Service] Environment="HTTP_PROXY=http://proxy.example.com:8080/" Environment="HTTPS_PROXY=http://proxy.example.com:8080/" Environment="NO_PROXY=localhost,127.0.0.1,.example.com"
- 刷新配置并重启 docker 服务。
sudo systemctl daemon-reload sudo systemctl restart docker
为 docker 容器设置网络代理
在容器运行阶段，如果需要使用 HTTP/HTTPS 代理，可以通过更改 docker 客户端配置，或者指定环境变量的方式。
- 更改 docker 客户端配置：创建或更改 ~/.docker/config.json，并在该文件中添加相关配置。
{
"proxies":
{
"default":
{
"httpProxy": "http://proxy.example.com:8080/",
"httpsProxy": "http://proxy.example.com:8080/",
"noProxy": "localhost,127.0.0.1,.example.com"
}
}
}
- 指定环境变量：运行 “docker run” 命令时，指定相关环境变量。
| 环境变量 | docker run 示例 |
|---|---|
| HTTP_PROXY | –env HTTP_PROXY=“http://proxy.example.com:8080/” |
| HTTPS_PROXY | –env HTTPS_PROXY=“http://proxy.example.com:8080/” |
| NO_PROXY | –env NO_PROXY=“localhost,127.0.0.1,.example.com” |
为 docker build 过程设置网络代理
在容器构建阶段，如果需要使用 HTTP/HTTPS 代理，可以通过指定 “docker build” 的环境变量，或者在 Dockerfile 中指定环境变量的方式。
- 使用 “–build-arg” 指定 “docker build” 的相关环境变量
docker build
--build-arg "HTTP_PROXY=http://proxy.example.com:8080/"
--build-arg "HTTPS_PROXY=http://proxy.example.com:8080/"
--build-arg "NO_PROXY=localhost,127.0.0.1,.example.com" .
- 在 Dockerfile 中指定相关环境变量
| 环境变量 | Dockerfile 示例 |
|---|---|
| HTTP_PROXY | ENV HTTP_PROXY=“http://proxy.example.com:8080/” |
| HTTPS_PROXY | ENV HTTPS_PROXY=“http://proxy.example.com:8080/” |
| NO_PROXY | ENV NO_PROXY=“localhost,127.0.0.1,.example.com” |
八、示例：创建一个点到点连接
默认情况下，Docker 会将所有容器连接到由
用户有时候需要两个容器之间可以直连通信，而不用通过主机网桥进行桥接。
解决办法很简单：创建一对
首先启动 2 个容器：
$ docker run -i -t --rm --net=none base /bin/bash root@1f1f4c1f931a:/# $ docker run -i -t --rm --net=none base /bin/bash root@12e343489d2f:/#
找到进程号，然后创建网络命名空间的跟踪文件。
$ docker inspect -f '{{.State.Pid}}' 1f1f4c1f931a
2989
$ docker inspect -f '{{.State.Pid}}' 12e343489d2f
3004
$ sudo mkdir -p /var/run/netns
$ sudo ln -s /proc/2989/ns/net /var/run/netns/2989
$ sudo ln -s /proc/3004/ns/net /var/run/netns/3004
创建一对
$ sudo ip link add A type veth peer name B $ sudo ip link set A netns 2989 $ sudo ip netns exec 2989 ip addr add 10.1.1.1/32 dev A $ sudo ip netns exec 2989 ip link set A up $ sudo ip netns exec 2989 ip route add 10.1.1.2/32 dev A $ sudo ip link set B netns 3004 $ sudo ip netns exec 3004 ip addr add 10.1.1.2/32 dev B $ sudo ip netns exec 3004 ip link set B up $ sudo ip netns exec 3004 ip route add 10.1.1.1/32 dev B
现在这 2 个容器就可以相互 ping 通，并成功建立连接。点到点链路不需要子网和子网掩码。
此外，也可以不指定
利用类似的办法，可以创建一个只跟主机通信的容器。但是一般情况下，更推荐使用
作者主页： 正函数的个人主页
文章收录专栏： Docker
欢迎大家点赞 ?? 收藏 ? 加关注哦！
如果你认为这篇文章对你有帮助，请给正函数点个赞吧，如果发现什么问题，欢迎评论区留言！！