Docker 学习笔记：网络篇
本笔记承接容器资源限制部分，深入讲解 Docker 的原生网络模型，涵盖 none/host/bridge 三种网络、自定义网络、容器间通信（IP/DNS/joined 容器）以及容器与外部世界的双向访问。
13. Docker 网络概览
Docker 安装时会自动创建三个网络：
bash
$ docker network ls NETWORK ID NAME DRIVER SCOPE a1b809382f0d bridge bridge local 6ad21ed9eaf1 host host local 4e31521b27c6 none null local14. none 和 host 网络
14.1 none 网络
none网络意味着容器只有lo回环接口，完全封闭。
bash
$ docker run -it --network=none busybox / # ifconfig lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0适用场景：对安全性要求极高且无需网络的应用，例如只生成随机密码的离线程序。
14.2 host 网络
使用--network=host时，容器与宿主机共享同一个网络命名空间，网络配置完全一致。
bash
$ docker run -it --network=host busybox / # ip a # 能看到宿主机所有网卡 / # hostname docker # 宿主机的主机名优点：性能最佳，无网络地址转换开销。
缺点：端口冲突风险高，灵活性下降。
典型应用：需要直接配置宿主机网络的网络插件（如 Flannel）或以容器形式运行的监控代理。
15. bridge 网络（默认）
15.1 原理
Docker 在安装时创建一个名为docker0的 Linux bridge（相当于软件交换机），默认新建的容器都会连接到该网桥。
bash
$ brctl show bridge name bridge id STP enabled interfaces docker0 8000.02420be905a5 no创建容器后，会自动生成一对veth pair虚拟网卡：一端在容器内（eth0），另一端挂在docker0上（如vethddb2744）。
bash
$ docker run -itd --name busybox1 busybox $ brctl show bridge name bridge id STP enabled interfaces docker0 8000.02420be905a5 no vethddb2744容器内查看：
bash
$ docker exec -it busybox1 sh / # ip a 24: eth0@if25: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0同时宿主机上会看到对应的另一端：
bash
$ ip a | grep vethddb2744 25: vethddb2744@if24: ...docker0网桥的 IP 为172.17.0.1/16，容器自动从该子网获取 IP。
15.2 查看 bridge 网络详情
bash
$ docker network inspect bridge "Subnet": "172.17.0.0/16", "Gateway": "172.17.0.1"16. 自定义网络（用户定义 bridge）
与默认 bridge 相比，自定义网络提供内置 DNS 解析，支持容器名称直接通信。
16.1 创建自定义 bridge 网络
bash
# 自动分配子网 $ docker network create --driver bridge my_net # 查看新建网桥 $ brctl show bridge name bridge id STP enabled interfaces br-89f7bc11b602 8000.0242194d039e no docker0 8000.02420be905a5 no vethddb274416.2 指定子网与网关
bash
$ docker network create --driver bridge \ --subnet 172.22.16.0/24 \ --gateway 172.22.16.1 \ my_net2宿主机上会生成同名网桥br-<ID>并配置网关 IP：
bash
$ ip a | grep br-ec761bc51778 27: br-ec761bc51778: <NO-CARRIER,...> mtu 1500 ... inet 172.22.16.1/24 brd 172.22.16.255 scope global br-ec761bc5177816.3 使用自定义网络并指定静态 IP
bash
$ docker run -it --network=my_net2 --ip 172.22.16.8 --name busybox3 busybox / # ip a 30: eth0@if31: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 ... inet 172.22.16.8/24 ...注意：只有创建网络时指定了
--subnet才能使用--ip分配静态 IP。
17. 理解容器间的连通性
17.1 同一自定义网络内互通
bash
$ docker exec -it busybox2 sh / # ping -c3 172.22.16.8 # 同一 my_net2 中的另一个容器 64 bytes from 172.22.16.8: seq=0 ttl=64 time=0.197 ms / # ping -c3 172.22.16.1 # 网关 64 bytes from 172.22.16.1: seq=0 ttl=64 time=0.149 ms同一网络中的容器与网关之间均可通信。
17.2 不同网络之间的隔离
默认 bridge 网络与自定义 my_net2 网络属于不同的网桥，Docker 通过 iptables 规则DOCKER-ISOLATION阻止了它们之间的双向流量。
bash
$ docker exec -it busybox2 sh / # ping -c3 172.17.0.2 # busybox1 的 IP --- 172.17.0.2 ping statistics --- 3 packets transmitted, 0 packets received, 100% packet loss17.3 将容器接入多个网络
bash
$ docker network connect my_net2 busybox1此时busybox1会多出一块eth1网卡，获得my_net2的 IP，从而可以与busybox2通信。
18. 容器间通信的三种方式
18.1 通过 IP 通信
两个容器只要处于同一网络，即可直接通过 IP 互通。
18.2 通过 Docker DNS Server
仅限用户自定义网络。容器可以用--name指定的名称直接相互访问。
bash
$ docker run -it --network=my_net2 --name bbox1 busybox $ docker run -it --network=my_net2 --name bbox2 busybox $ docker exec -it bbox2 sh / # ping -c3 bbox1 PING bbox1 (172.22.16.2): 56 data bytes 64 bytes from 172.22.16.2: seq=0 ttl=64 time=0.177 ms默认 bridge 网络不支持DNS 名称解析。
18.3 joined 容器（共享网络栈）
通过--network=container:目标容器名让新容器与目标容器共享同一个网络命名空间。
bash
$ docker run -d --name web1 httpd $ docker run -it --network=container:web1 busybox / # ip a # 与 web1 的 IP 和 MAC 完全相同 / # wget 127.0.0.1 # 直接通过 localhost 访问 web1 的服务适用场景：需要高效 loopback 通信，或监控其他容器的网络流量。
19. 容器访问外部世界
19.1 默认行为
容器无需额外配置即可访问外网（如ping www.baidu.com），这是通过NAT（网络地址转换）实现的。
19.2 NAT 原理解析
在宿主机 iptables 的 NAT 表中存在类似规则：
text
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE当容器向外发包时，数据包经过docker0网桥，匹配该规则后被 MASQUERADE，即将源 IP 替换为宿主机外网接口的 IP，从而能够访问外网并接收回复。
可以用tcpdump抓包观察：
bash
# 在宿主机两个窗口分别抓包 $ tcpdump -i docker0 -n icmp $ tcpdump -i ens160 -n icmp # 容器中 ping 外网 $ docker run -it busybox ping www.baidu.comdocker0上看到的源 IP 是容器 IP（如172.17.0.2）ens160上看到的源 IP 已经被替换为宿主机 IP（如192.168.108.30）
20. 外部世界访问容器
通过端口映射让外部流量到达容器内部服务。
20.1 动态端口映射
bash
$ docker run -d -p 80 httpd $ docker port <容器ID> 80/tcp -> 0.0.0.0:32768访问http://<宿主机IP>:32768即可访问容器内的 HTTP 服务。
20.2 指定固定端口
bash
$ docker run -d -p 8080:80 httpd $ curl http://192.168.108.30:8080 <html><body><h1>It works!</h1></body></html>每个映射的端口，宿主机都会启动一个docker-proxy进程负责将流量转发到容器。
bash
$ ps aux | grep docker-proxy原理流程（以0.0.0.0:8080->80/tcp为例）：
docker-proxy监听宿主机 8080 端口。- 外部请求到达宿主机 8080 端口。
docker-proxy将请求转发到容器的 IP 和 80 端口。- 容器处理请求并原路返回。
21. 知识点速查表
21.1 Docker 原生网络模式对比
| 网络模式 | 配置方式 | 网络隔离 | 性能 | 典型场景 |
|---|---|---|---|---|
| none | --network=none | 完全无网络（仅 lo） | 不适用 | 离线安全任务 |
| host | --network=host | 无（共享宿主机网络栈） | 最高 | 高性能网络、网络插件 |
| bridge | 默认 | 独立网络命名空间，通过 NAT 访问外网 | 较好 | 一般容器应用 |
| 自定义 bridge | --network=my_net | 同 bridge，但内建 DNS | 好 | 需要名称解析的多容器应用 |
21.2 容器间通信方式速查
| 方式 | 适用网络 | 关键命令/配置 |
|---|---|---|
| IP 直连 | 任意同一网络 | ping <容器IP> |
| 内置 DNS | 仅用户自定义网络 | --name 名称，直接ping 容器名 |
| joined 容器 | 所有网络 | --network=container:<目标容器>，共享网络栈 |
21.3 容器与外部通信速查
| 方向 | 实现技术 | 关键命令 |
|---|---|---|
| 容器 → 外部 | NAT (MASQUERADE) | 无需配置，自动生效 |
| 外部 → 容器 | 端口映射 + docker-proxy | -p 宿主机端口:容器端口 |
21.4 常用网络管理命令
| 命令 | 功能 |
|---|---|
docker network ls | 列出所有网络 |
docker network inspect <网络名> | 查看网络详细信息（子网、网关、容器等） |
docker network create --driver bridge <网络名> | 创建自定义网络 |
docker network connect <网络名> <容器名> | 将容器接入指定网络 |
docker network disconnect <网络名> <容器名> | 将容器从网络断开 |
docker port <容器名> | 查看容器端口映射情况 |
brctl show | 查看宿主机 Linux bridge 信息（需安装 bridge-utils） |
本笔记至此覆盖 Docker 网络的单机场景，后续将进入存储卷与日志监控部分。
