一、docker 容器網橋實現原理

　　Docker使用Linux橋接，在宿主機虛擬一個Docker容器網橋(docker0)，Docker啟動一個容器時會根據Docker網橋的網段分配給容器一個IP地址，稱為Container-IP，同時Docker網橋是每個容器的默認網關。因為在同一宿主機內的容器都接入同一個網橋，這樣容器之間就能夠通過容器的Container-IP直接通信。

　　Docker網橋是宿主機虛擬出來的，并不是真實存在的網絡設備，外部網絡是無法尋址到的，這也意味著外部網絡無法通過直接Container-IP訪問到容器。

　　如果容器希望外部訪問能夠訪問到，可以通過映射容器端口到宿主主機（端口映射），即docker run創建容器時候通過 -p 或 -P 參數來啟用，訪問容器的時候就通過[宿主機IP]:[容器端口]訪問容器。

二、四類網絡模式

host：容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。

Container：創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍。

None：該模式關閉了容器的網絡功能。

Bridge：此模式會為每一個容器分配、設置IP等，并將容器連接到一個docker0虛擬網橋，通過docker0網橋以及Iptables nat表配置與宿主機通信。

[root@moapp-0003 pg_dockerfile]# docker network ls

NETWORK ID? ? NAME? ? ? ? ? ? ? DRIVER? ? SCOPE

baa06c63cee9? bridge? ? ? ? ? ? bridge? ? local

6818dc14af4b? docker_gwbridge? bridge? ? local

fbaff9613bbc? host? ? ? ? ? ? ? host? ? ? local

d6tgeu5nrfrv? ingress? ? ? ? ? overlay? swarm

a7faafcce0dc? none? ? ? ? ? ? ? null? ? ? local

mdtdf6d41zay? test_default? ? ? overlay? swarm

1、host模式? ——? 使用--net=host指定

　　眾所周知，Docker使用了Linux的Namespaces技術來進行資源隔離，如PID Namespace隔離進程，Mount Namespace隔離文件系統，Network Namespace隔離網絡等。一個Network Namespace提供了一份獨立的網絡環境，包括網卡、路由、Iptable規則等都與其他的Network Namespace隔離。一個Docker容器一般會分配一個獨立的Network Namespace。

　　但是，如果啟動容器的時候使用host模式，那么這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。

　　容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口。但是，容器的其他方面，如文件系統、進程列表等還是和宿主機隔離的。

　　使用host模式的容器可以直接使用宿主機的IP地址與外界通信，容器內部的服務端口也可以使用宿主機的端口，不需要進行NAT，host最大的優勢就是網絡性能比較好，但是docker host上已經使用的端口就不能再用了，網絡的隔離性不好。

　　例如，我們在10.10.101.105/24的機器上用host模式啟動一個含有web應用的Docker容器，監聽tcp80端口。當我們在容器中執行任何類似ifconfig命令查看網絡環境時，看到的都是宿主機上的信息。而外界訪問容器中的應用，則直接使用10.10.101.105:80即可，不用任何NAT轉換，就如直接跑在宿主機中一樣。但是，容器的其他方面，如文件系統、進程列表等還是和宿主機隔離的。

2、container模式? ——? 使用--net=container:NAME_or_ID指定

　　在理解了host模式后，這個模式也就好理解了。這個模式指定新創建的容器和已經存在的一個容器共享一個Network Namespace，而不是和宿主機共享。

　　新創建的容器不會創建自己的網卡，配置自己的IP，而是和一個指定的容器共享IP、端口范圍等。同樣，兩個容器除了網絡方面，其他的如文件系統、進程列表等還是隔離的。兩個容器的進程可以通過lo網卡設備通信。

3、none模式? ——? 使用--net=none指定

　　使用none模式，Docker容器擁有自己的Network Namespace，但是，并不為Docker容器進行任何網絡配置。也就是說，這個Docker容器沒有網卡、IP、路由等信息。需要我們自己為Docker容器添加網卡、配置IP等。

　　這種網絡模式下容器只有lo回環網絡，沒有其他網卡。none模式可以在容器創建時通過--network=none來指定。這種類型的網絡沒有辦法聯網，封閉的網絡能很好的保證容器的安全性。

4、bridge模式? —— 使用--net=bridge指定，默認設置

　　當Docker進程啟動時，會在主機上創建一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中。

　　從docker0子網中分配一個IP給容器使用，并設置docker0的IP地址為容器的默認網關。在主機上創建一對虛擬網卡veth pair設備，Docker將veth pair設備的一端放在新創建的容器中，并命名為eth0（容器的網卡），另一端放在主機中，以vethxxx這樣類似的名字命名，并將這個網絡設備加入到docker0網橋中。可以通過brctl show命令查看。

　　bridge模式是docker的默認網絡模式，不寫--net參數，就是bridge模式。使用docker run -p時，docker實際是在iptables做了DNAT規則，實現端口轉發功能。可以使用iptables -t nat -vnL查看。

　　bridge模式如下圖所示：

三、bridge 模式具體介紹

1、網絡拓撲

　　當Docker server啟動時，會在主機上創建一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連接到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網絡中。

　　接下來就要為容器分配IP了，Docker會從RFC1918所定義的私有IP網段中，選擇一個和宿主機不同的IP地址和子網分配給docker0，連接到docker0的容器就從這個子網中選擇一個未占用的IP使用。如一般Docker會使用172.17.0.0/16這個網段，并將172.17.42.1/16分配給docker0網橋（在主機上使用ifconfig命令是可以看到docker0的，可以認為它是網橋的管理接口，在宿主機上作為一塊虛擬網卡使用）。單機環境下的網絡拓撲如下，主機地址為10.10.101.105/24。

　　Docker完成以上網絡配置的過程大致是這樣的：

（1）在主機上創建一對虛擬網卡veth pair設備。veth設備總是成對出現的，它們組成了一個數據的通道，數據從一個設備進入，就會從另一個設備出來。因此，veth設備常用來連接兩個網絡設備。

（2）Docker將veth pair設備的一端放在新創建的容器中，并命名為eth0。另一端放在主機中，以veth65f9這樣類似的名字命名，并將這個網絡設備加入到docker0網橋中，可以通過brctl show命令查看。

（3）從docker0子網中分配一個IP給容器使用，并設置docker0的IP地址為容器的默認網關。

2、bridge模式下容器的通信

　　在bridge模式下，連在同一網橋上的容器可以相互通信（若出于安全考慮，也可以禁止它們之間通信，方法是在DOCKER_OPTS變量中設置--icc=false，這樣只有使用--link才能使兩個容器通信）。

　　容器也可以與外部通信，我們看一下主機上的Iptable規則，可以看到這么一條：-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

　　這條規則會將源地址為172.17.0.0/16的包（也就是從Docker容器產生的包），并且不是從docker0網卡發出的，進行源地址轉換，轉換成主機網卡的地址。這么說可能不太好理解，舉一個例子說明一下。假設主機有一塊網卡為eth0，IP地址為10.10.101.105/24，網關為10.10.101.254。從主機上一個IP為172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先從容器發往自己的默認網關docker0，包到達docker0后，也就到達了主機上。然后會查詢主機的路由表，發現包應該從主機的eth0發往主機的網關10.10.105.254/24。接著包會轉發給eth0，并從eth0發出去（主機的ip_forward轉發應該已經打開）。這時候，上面的Iptable規則就會起作用，對包做SNAT轉換，將源地址換為eth0的地址。這樣，在外界看來，這個包就是從10.10.101.105上發出來的，Docker容器對外是不可見的。

　　那么，外面的機器是如何訪問Docker容器的服務呢？我們首先用下面命令創建一個含有web應用的容器，將容器的80端口映射到主機的80端口。docker run -d --name web -p 80:80 fmzhen/simpleweb

　　然后查看Iptable規則的變化，發現多了這樣一條規則：-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.5:80

　　此條規則就是對主機eth0收到的目的端口為80的tcp流量進行DNAT轉換，將流量發往172.17.0.5:80，也就是我們上面創建的Docker容器。所以，外界只需訪問10.10.101.105:80就可以訪問到容器中得服務。

　　除此之外，我們還可以自定義Docker使用的IP地址、DNS等信息，甚至使用自己定義的網橋，但是其工作方式還是一樣的。

參考文章：

http://www.lxweimin.com/p/22a7032bb7bd

https://www.cnblogs.com/gispathfinder/p/5871043.html