[Docker][Docker NetWork][上]详细讲解

news2024/12/23 10:30:01

1.为什么需要网络管理

容器的网络默认与宿主机及其他容器都是相互隔离，但同时也要考虑以下问题，比如：
- 多个容器之间是如何通信的
- 容器和宿主机是如何通信的
- 容器和外界主机是如何通信的
- 容器中要运行一些网络应用(如 nginx、web应用、数据库等)，如果要让外部也可以访问这些容器内运行的网络应用应该如何实现
- 容器不想让它的网络与宿主机、与其他容器隔离应该如何实现
- 容器根本不需要网络的时候应该如何实现
- 容器需要更高的定制化网络(如定制特殊的集群网络、定制容器间的局域网)应该如何实现
- …

Docker网络架构采用的设计规范是CNM(Container Network Model)
CNM中规定了Docker网络的基础组成要素：
- Sandbox：
  - 提供了容器的虚拟网络栈
    - 即：端口、套接字、IP路由表、防火墙、 DNS配置等内容
  - 主要用于隔离容器网络与宿主机网络，形成了完全独立的容器网络环境
- Network：Docker内部的虚拟子网，使得网络内的参与者能够进行通讯
- Endpoint：
  - 虚拟网络的接口，就像普通网络接口一样，Endpoint的主要职责是负责创建连接
  - Endpoint类似于常见的网络适配器，那也就意味着一个Endpoint只能接入某一个网络，当容器需要接入到多个网络，就需要多个Endpoint
如下图所示，容器B有两个Endpoint并且分别接入Networkd A和Network B。那么容器A和容器B之间是可以实现通信的，因为都接入了NetworkA。但是容器A和容器C不可以通过容器B的两个Endpoint通信

Libnetwork是CNM的一个标准实现
Libnetwork是开源库，采用Go语言编写(跨平台的)，也是Docker所使用的库，Docker网络架构的核心代码都在这个库中。 Libnetwork实现了CNM中定义的全部三个组件，此外它还实现了本地服务发现、基于Ingress的容器负载均衡，以及网络控制层和管理层等功能

驱动主要负责实现数据层相关内容
- 例如：网络的连通性和隔离性是由驱动来处理的
驱动通过实现特定网络类型的方式扩展了Docker网络栈
- 例如：桥接网络和覆盖网络
Docker内置了若干驱动，通常被称作原生驱动或者本地驱动
- 例如：Bridge Driver、Host Driver、Overlay Driver、MacVLan Driver、IPVLan Driver、None Driver等等
- 每个驱动负责创建其上所有网络资源的创建和管理

bridge驱动会在Docker管理的主机上创建一个Linux网桥
- 默认情况下，网桥上的容器可以相互通信
- 也可以通过bridge驱动程序配置，实现对外部容器的访问
Docker容器的默认网络驱动，当需要多个容器在同一个Docker主机上通信时，桥接网络是最佳选择
另外，在Docker安装时，会自动安装一块Docker网卡称为docker0，它是一个网桥设备，主要用于Docker各容器及宿主机的网络通信