网络配置

容器中可以运行一些网络应用，要让外部也可以访问这些应用，可以通过 -P 或 -p 参数来指定端口映射

容器的连接（linking）系统是另一种跟容器中应用交互的方式。在源和接收容器之间创建一个隧道，接收容器可以看到源容器指定的信息

Docker服务启动时，会自动在主机上创建一个 docker0 虚拟网桥，实际上是 Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进行转发

同时，Docker 随机分配一个本地未占用的私有网段（在 RFC1918 中定义）中的一个地址给 docker0 接口。比如典型的 172.17.42.1，掩码为 255.255.0.0。此后启动的容器内的网口也会自动分配一个同一网段（172.17.0.0/16）的地址

当创建一个 Docker 容器的时候，同时会创建了一对 veth pair 接口（当数据包发送到一个接口时，另外一个接口也可以收到相同的数据包）。这对接口一端在容器内，即 eth0；另一端在本地并被挂载到 docker0 网桥，名称以 veth 开头（例如 vethAQI2QT）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。Docker 就创建了在主机和所有容器之间一个虚拟共享网络

Docker 利用虚拟文件来挂载到来容器的 3 个相关配置文件

$ sudo docker run -t -i training/webapp /bin/bash
root@1c9d1c0c2593:/opt/webapp# mount

...
/dev/xvda1 on /etc/resolv.conf type ext4 (rw,relatime,errors=remount-ro,data=ordered)
/dev/xvda1 on /etc/hostname type ext4 (rw,relatime,errors=remount-ro,data=ordered)
/dev/xvda1 on /etc/hosts type ext4 (rw,relatime,errors=remount-ro,data=ordered)
...

宿主主机 DNS 信息发生更新后，所有 Docker 容器的 dns 配置通过 /etc/resolv.conf 文件立刻得到更新

容器的访问控制，主要通过 Linux 上的 iptables 防火墙来进行管理和实现

默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器

Docker 默认指定了 docker0 接口 的 IP 地址和子网掩码，让主机和容器之间可以通过网桥相互通信，它还给出了 MTU（接口允许接收的最大传输单元），通常是 1500 Bytes，或宿主主机网络路由上支持的默认值。这些值都可以在服务启动的时候进行配置

• –bip=CIDR : IP 地址加掩码格式，例如 192.168.1.5/24
• –mtu=BYTES : 覆盖默认的 Docker mtu 配置

$ sudo brctl show

bridge name     bridge id                        STP        enabled     interfaces
docker0            8000.024261567e9f       no

每次创建一个新容器的时候，Docker 从可用的地址段中选择一个空闲的 IP 地址分配给容器的 eth0 端口。使用本地主机上 docker0 接口的 IP 作为所有容器的默认网关

$ docker run -t -i --rm training/webapp /bin/bash

root@3c83e85ce67e:/opt/webapp# ip addr show eth0

27: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
    link/ether 02:42:c0:a8:00:02 brd ff:ff:ff:ff:ff:ff
    inet 192.168.0.2/20 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 fe80::42:c0ff:fea8:2/64 scope link
    valid_lft forever preferred_lft forever

root@3c83e85ce67e:/opt/webapp# ip route

default via 192.168.0.1 dev eth0
192.168.0.0/20 dev eth0  proto kernel  scope link  src 192.168.0.2

启动 Docker 服务的时候，使用 -b BRIDGE或–bridge=BRIDGE 来指定使用的网桥

• 停止服务，并删除旧的网桥

$ sudo service docker stop
$ sudo ip link set dev docker0 down
$ sudo brctl delbr docker0

• 创建一个网桥 bridge0

  $ sudo brctl addbr bridge0
  $ sudo ip addr add 192.168.5.1/24 dev bridge0
  $ sudo ip link set dev bridge0 up
  

• 查看网桥

  $ ip addr show bridge0
  
  4: bridge0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state UP group default
      link/ether 66:38:d0:0d:76:18 brd ff:ff:ff:ff:ff:ff
      inet 192.168.5.1/24 scope global bridge0
         valid_lft forever preferred_lft forever
  

• 配置 Docker 服务，默认桥接到创建的网桥上

  $ echo 'DOCKER_OPTS="$DOCKER_OPS -b=bridge0"' >> /etc/default/docker
  $ sudo service docker start
  

• 启动 Docker 服务。 新建一个容器，可以看到它已经桥接到了 bridge0 上

用户有时候需要两个容器之间可以直连通信，而不用通过主机网桥进行桥接。创建一对 peer 接口，分别放到两个容器中，配置成点到点链路类型即可

• 启动 2 个容器

  $ sudo docker run -i -t --rm --net=none base /bin/bash
  root@1f1f4c1f931a:/#
  
  $ sudo docker run -i -t --rm --net=none base /bin/bash
  root@12e343489d2f:/#
  

• 找到宿主机对应的进程号，然后创建网络名字空间的跟踪文件

  $ sudo docker inspect -f '{{.State.Pid}}' 1f1f4c1f931a
  2989
  
  $ sudo docker inspect -f '{{.State.Pid}}' 12e343489d2f
  3004
  
  $ sudo mkdir -p /var/run/netns
  
  $ sudo ln -s /proc/2989/ns/net /var/run/netns/2989
  $ sudo ln -s /proc/3004/ns/net /var/run/netns/3004
  

• 创建一对 peer 接口，然后配置路由

  $ sudo ip link add A type veth peer name B
  
  $ sudo ip link set A netns 2989
  $ sudo ip netns exec 2989 ip addr add 10.1.1.1/32 dev A
  $ sudo ip netns exec 2989 ip link set A up
  $ sudo ip netns exec 2989 ip route add 10.1.1.2/32 dev A
  
  $ sudo ip link set B netns 3004
  $ sudo ip netns exec 3004 ip addr add 10.1.1.2/32 dev B
  $ sudo ip netns exec 3004 ip link set B up
  $ sudo ip netns exec 3004 ip route add 10.1.1.1/32 dev B
  

这 2 个容器就可以相互 ping 通，并成功建立连接。点到点链路不需要子网和子网掩码