初识Docker容器网络模式

Docker容器4种网络模式
基于docker run创建docker容器时，可使用--net选项指定容器网络模式，Docker网络模式有：
1)、None模式
不为容器配置任何网络。--network none

# docker run -it --network none busybox:latestUnable to find image 'busybox:latest' locallylatest: Pulling from library/busyboxee153a04d683: Pull complete Digest: sha256:9f1003c480699be56815db0f8146ad2e22efea85129b5b5983d0e0fb52d9ab70Status: Downloaded newer image for busybox:latest/ # / # ifconfiglo        Link encap:Local Loopback        inet addr:127.0.0.1  Mask:255.0.0.0      UP LOOPBACK RUNNING  MTU:65536  Metric:1      RX packets:0 errors:0 dropped:0 overruns:0 frame:0      TX packets:0 errors:0 dropped:0 overruns:0 carrier:0      collisions:0 txqueuelen:1       RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)/ # 

容器内无IP地址，无法连接外网，宿主机未分配IP。
2)、Container模式
与另一正在运行的容器共享Network Namespace。--network=container:containerID
新创建的容器不会有自己的IP、网卡信息， 与指定的容器共享网络环境。容器除了网络方面，其他都是隔离的，如文件系统、进程等。
3)、Host模式
与宿主机共享Network Namespace。--network=host

# docker run -it --network host centos:latest

输入上述命令后发现没啥变化，其实已经进入容器了，因与宿主机公用网络，主机名也和宿主机一样。容器不会有网卡等信息，都使用宿主机IP和端口，如果宿主机开放啥端口，容器内也相应开放，相对而言网络安全性不够。
4)、Bridge桥接模式
Docker的NAT网络模型，是docker默认的网络模式，宿主机会自动给docker容器分配Network Namespace，独立的虚拟IP，docker容器会连接到docker0虚拟网桥上，使之能连接网络。
Docker Bridge桥接网络原型图

宿主机两个网卡：eth0、docker0。docker服务启动会自动创建一个桥接网卡docker0（172.17.0.1），同时出现一个网桥docker0（# brctl show）查看：

[root@docker-qa ~]# brctl showbridge name     bridge id       STP enabled     interfacesdocker0     8000.024267a34c5d       no          veth008914e9                                            veth04d070a5                                            veth209e9cae                                            veth226cdf5

将所有docker的虚拟网卡连接到docker0网桥上，docker容器启动会按顺序分配IP。
Docker Bridge桥接创建过程：
1) 宿主机创建一对虚拟网卡veth pair设备，veth都是成对出现，用来连接两个网络设备，进行数据传输。
2) veth pair设备一端在容器中，命名eth0，另一端在docker0网桥中， brctl show命令查看。
3) docker0分配一IP给容器，并设置docker0的IP为容器默认网关。
4) 容器与宿主机可通信了。Bridge模式下，同一网桥下的容器可互通，并容器可访问外网。
docker容器与外网能连接，主要关键性作用是Linux内核，Linux内核将容器桥接网卡信号转发到eth0，然后eth0与外网连接，其中需先在Linux系统配置项net.ipv4.ip_forward=1用来配置转发

容器访问外网
容器中的应用要连接外网，可通过-P或-p参数指定端口映射。

-P   docker随机映射： docker run -d -P --name nginxTest nginx-p   docker指定映射：-p hostPort：containerPort                 -p ip:hostPort：containerPort                 -p ip::containerPort    #宿主机任意Port映射容器指定的Port                 -p hostPort：containerPort：udp

如果宿主机开启iptables规则，端口映射完成后， 会在iptables防火墙规则中后面加入对应端口开放的规则。

#docker run -d --name dbserver test/mysql

创建一Web容器，并将它连接到dbserver容器

#docker run -p 8080:8090 --name myweb --link dbserver:db  mywebtest:latest

此时，docker在两个互联的容器建立一安全隧道，并无需映射端口到宿主机，在docker run dbserver容器时并未使用-P或-p指定端口，从而避免dbserver数据库容器端口暴露在外，增强了安全性。
--link格式为：--link name:alias，name为要连接的容器名称，alias是连接的别名。但docker的后续版本中，会取消docker run中的--link选项。
数据库容器dbserver 与 web容器互联。现在通过docker exec进入到web容器里，查看hosts文件，可发现有数据库容器dbserver解析的IP和主机名信息。且ping通link的别名。