目录
一、docker的网络模式
# 使用以下命令查看所有的Docker网络：
➜ ~ docker network ls
NETWORK ID NAME DRIVER SCOPE
b2c8f825ca64 bridge bridge local
4b6ca6c1af1f docker_standalone-fate-130_default bridge local
75c6b565c73c host host local
0196d25ee724 none null localdocker默认提供了四个网络模式
bridge：容器默认的网络是桥接模式(自己搭建的网络默认也是使用桥接模式,启动容器默认也是使用桥接模式)。此模式会为每一个容器分配、设置IP等，并将容器连接到一个docker0虚拟网桥，通过docker0网桥以及Iptables nat表配置与宿主机通信。
none：不配置网络，容器有独立的Network namespace，但并没有对其进行任何网络设置，如分配veth pair 和网桥连接，配置IP等。
host：容器和宿主机共享Network namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。
container：创建的容器不会创建自己的网卡，配置自己的IP容器网络连通。容器和另外一个容器共享Network namespace（共享IP、端口范围）。
容器默认使用bridge网络模式
使用docker run --network=选项指定容器使用的网络：
bridge模式：使用 --net=bridge 指定，默认设置。
host模式：使用 --net=host 指定。
none模式：使用 --net=none 指定。
container模式：使用 --net=container:NAME_or_ID 指定。
1.1 bridge模式
Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。
从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备，Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0（容器的网卡），另一端放在主机中，以vethxxx这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。
使用docker run -p时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL查看。bridge模式如下图所示：
Docker容器完成bridge网络配置的过程如下：
1.在主机上创建一对虚拟网卡veth pair设备。veth设备总是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另一个设备出来。因此，veth设备常用来连接两个网络设备。
2.docker将veth pair设备的一端放在新创建的容器中，并命名为eth0。另一端放在主机中，以veth65f9这样类似的名字命名，并将这个网络设备加入到docker0网桥中。
3.从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。
1.2Host模式
和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。
使用host模式的容器可以直接使用宿主机的IP地址与外界通信，容器内部的服务端口也可以使用宿主机的端口，不需要进行NAT，host最大的优势就是网络性能比较好，但是docker host上已经使用的端口就不能再用了，网络的隔离性不好。Host模式的模型图，如下图所示：
eth0为宿主机的10.126.130.4为宿主机的内网地址。
1.3container模式
容器和已经存在的一个容器共享一个 Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的 IP，而是和一个指定的容器共享 IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo 网卡设备通信。Container模式模型示意图如下：
1.4none模式
容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。
这种网络模式下容器只有lo回环网络，没有其他网卡。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。
二、简单例子Tomcat
1.启动tomcat容器
docker run -d -P --name tomcat01 tomcat:8.0
2.查看宿主机网络，tomcat容器网络新
宿主机：
tomcat：
3.测试是否相通
? ~ ping 172.17.0.3
PING 172.17.0.3 (172.17.0.3) 56(84) bytes of data.
64 bytes from 172.17.0.3: icmp_seq=1 ttl=64 time=0.108 ms
64 bytes from 172.17.0.3: icmp_seq=2 ttl=64 time=0.085 ms
64 bytes from 172.17.0.3: icmp_seq=3 ttl=64 time=0.054 ms
64 bytes from 172.17.0.3: icmp_seq=4 ttl=64 time=0.054 ms
^Z
4.再启动一个tomcat容器，测试是否相通
# 启动
➜ ~ docker run -d -P --name tomcat2 tomcat:8.0
7d1164d71e4e1daa2bd82ea746d041d3f5fd178ab504d3bf6cd2f26aea5c4e8f
#查看地址
➜ ~ docker exec -it tomcat2 ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
59: eth0@if60: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
# ping另外一个tomcat
➜ ~ docker exec -it tomcat2 ping 172.17.0.3
PING 172.17.0.3 (172.17.0.3) 56(84) bytes of data.
64 bytes from 172.17.0.3: icmp_seq=1 ttl=64 time=0.208 ms
64 bytes from 172.17.0.3: icmp_seq=2 ttl=64 time=0.128 ms
64 bytes from 172.17.0.3: icmp_seq=3 ttl=64 time=0.071 ms
^Z64 bytes from 172.17.0.3: icmp_seq=4 ttl=64 time=0.068 ms
64 bytes from 172.17.0.3: icmp_seq=5 ttl=64 time=0.092 ms
^Z64 bytes from 172.17.0.3: icmp_seq=6 ttl=64 time=0.065 ms
64 bytes from 172.17.0.3: icmp_seq=7 ttl=64 time=0.118 ms
64 bytes from 172.17.0.3: icmp_seq=8 ttl=64 time=0.102 ms
^X^C
--- 172.17.0.3 ping statistics ---
两个Tomcat之间的网络通信
所有的容器不指定网络下，都是由docker0路由的，Docker会给我们容器默认分配一个随机的可用IP地址。
三、容器之间的互联
上线部署的时候微服务对应的IP地址可能会改动，因此需要使用容器名来配置容器间的网络连接。
使用 --link (不建议使用)
1.测试不设置连接的情况
➜ ~ docker exec -it tomcat2 ping tomcat1
ping: unknown host tomcat1
2.启动另外一个tomcat
# 启动
➜ ~ docker run -d -P --name tomcat3 --link tomcat2 tomcat:8.0
151f95d9611d8d560cc0cc3c5afe466d18d096de76c73c7b48b27ffef6be8241
# tomcat2 ping tomcat3 ping 不通
➜ ~ docker exec -it tomcat2 ping tomcat3
ping: unknown host tomcat3
# tomcat3 可以ping通 tomcat2
➜ ~ docker exec -it tomcat3 ping tomcat2
PING tomcat2 (172.17.0.2) 56(84) bytes of data.
64 bytes from tomcat2 (172.17.0.2): icmp_seq=1 ttl=64 time=0.209 ms
64 bytes from tomcat2 (172.17.0.2): icmp_seq=2 ttl=64 time=0.105 ms
64 bytes from tomcat2 (172.17.0.2): icmp_seq=3 ttl=64 time=0.121 ms
64 bytes from tomcat2 (172.17.0.2): icmp_seq=4 ttl=64 time=0.066 ms
反向ping不通的原因是 --link的原理是在指定运行的容器上的/etc/hosts文件中添加容器名和ip地址的映射
自定义网络 docker network命令
1.基础命令使用
# 全部网络查看
➜ ~ docker network ls
NETWORK ID NAME DRIVER SCOPE
b2c8f825ca64 bridge bridge local
4b6ca6c1af1f docker_standalone-fate-130_default bridge local
75c6b565c73c host host local
0196d25ee724 none null local
# 新建mynet
➜ ~ docker network create --driver bridge --subnet 192.168.0.0/16 --gateway 192.168.0.1 mynet
9329391ab863d34b82d2adbd6d31744ba088ab735f3902471efe019c57ec3dea
➜ ~ docker network ls
NETWORK ID NAME DRIVER SCOPE
b2c8f825ca64 bridge bridge local
4b6ca6c1af1f docker_standalone-fate-130_default bridge local
75c6b565c73c host host local
9329391ab863 mynet bridge local
# 参数说明
# driver bridge #指定bridge驱动程序来管理网络
# subnet 192.168.0.0/16 #指定网段的CIDR格式的子网
# gateway 192.168.0.1 #指定主子网的IPv4或IPv6网关
2.启动两个容器，使用mynet 网络
➜ ~ docker run -d -P --name tomcat-net1 --net mynet tomcat:8.0
92b5bb032f1dad64e9672e04fcfd68f5bbb3b36c738c8bccb305f8be4a731fe6
➜ ~ docker run -d -P --name tomcat-net2 --net mynet tomcat:8.0
e90148594ae1f6c47312e1dfd496c2113bd9e4c5188078bf7f2e9a70dd6c9e70
➜ ~ docker network inspect mynet
[
{
......
"Containers": {
"92b5bb032f1dad64e9672e04fcfd68f5bbb3b36c738c8bccb305f8be4a731fe6": {
"Name": "tomcat-net1",
"EndpointID": "9e11300fa301516190c8c5c67e6b7c8a8f3a28226e222b205b676df1858db9d9",
"MacAddress": "02:42:c0:a8:00:02",
"IPv4Address": "192.168.0.2/16",
"IPv6Address": ""
},
"e90148594ae1f6c47312e1dfd496c2113bd9e4c5188078bf7f2e9a70dd6c9e70": {
"Name": "tomcat-net2",
"EndpointID": "c2ad04bd23e6b13e670d86e1cdd57ef227ef8350a81dada533030622dfb3cf3a",
"MacAddress": "02:42:c0:a8:00:03",
"IPv4Address": "192.168.0.3/16",
"IPv6Address": ""
}
},
}
]
3.查看内部网络，并测试是否互通
➜ ~ docker exec -it tomcat-net2 ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
70: eth0@if71: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
link/ether 02:42:c0:a8:00:03 brd ff:ff:ff:ff:ff:ff
inet 192.168.0.3/16 brd 192.168.255.255 scope global eth0
valid_lft forever preferred_lft forever
➜ ~ docker exec -it tomcat-net2 ping tomcat-net1
PING tomcat-net1 (192.168.0.2) 56(84) bytes of data.
64 bytes from tomcat-net1.mynet (192.168.0.2): icmp_seq=1 ttl=64 time=0.106 ms
64 bytes from tomcat-net1.mynet (192.168.0.2): icmp_seq=2 ttl=64 time=0.109 ms
64 bytes from tomcat-net1.mynet (192.168.0.2): icmp_seq=3 ttl=64 time=0.318 ms
^C
--- tomcat-net1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 1999ms
rtt min/avg/max/mdev = 0.106/0.177/0.318/0.100 ms
➜ ~ docker exec -it tomcat-net1 ping tomcat-net2
PING tomcat-net2 (192.168.0.3) 56(84) bytes of data.
64 bytes from tomcat-net2.mynet (192.168.0.3): icmp_seq=1 ttl=64 time=0.389 ms
64 bytes from tomcat-net2.mynet (192.168.0.3): icmp_seq=2 ttl=64 time=0.120 ms
^C
--- tomcat-net2 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1001ms
rtt min/avg/max/mdev = 0.120/0.254/0.389/0.135 ms
4.测试之前的tomcat1 是否能ping通 tomcat-net下的tomcat
# 查看一下tomcat1 中的ip地址
➜ ~ docker exec -it tomcat1 ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
72: eth0@if73: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
# ping 名字
➜ ~ docker exec -it tomcat1 ping tomcat-net1
ping: unknown host tomcat-net1
# ping 地址
➜ ~ docker exec -it tomcat1 ping 192.168.0.2
PING 192.168.0.2 (192.168.0.2) 56(84) bytes of data.
^C
--- 192.168.0.2 ping statistics ---
11 packets transmitted, 0 received, 100% packet loss, time 10001ms
结论：ping不通，不是一个网段的。
解决方案：不同Docker网络之间的容器需要连接的话需要把作为调用方的容器注册一个ip到被调用方所在的网络上，使用docker connect命令
5.使用tomcat1和tomcat-net互通
#进行连接网络mynet
➜ ~ docker network connect mynet tomcat1
#查看tomcat网络，新增一个网络地址192.168.0.4
➜ ~ docker exec -it tomcat1 ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
72: eth0@if73: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.2/16 brd 172.17.255.255 scope global eth0
valid_lft forever preferred_lft forever
76: eth1@if77: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
link/ether 02:42:c0:a8:00:04 brd ff:ff:ff:ff:ff:ff
inet 192.168.0.4/16 brd 192.168.255.255 scope global eth1
valid_lft forever preferred_lft forever
# ping通
➜ ~ docker exec -it tomcat1 ping tomcat-net1
PING tomcat-net1 (192.168.0.2) 56(84) bytes of data.
64 bytes from tomcat-net1.mynet (192.168.0.2): icmp_seq=1 ttl=64 time=0.337 ms
64 bytes from tomcat-net1.mynet (192.168.0.2): icmp_seq=2 ttl=64 time=0.111 ms
64 bytes from tomcat-net1.mynet (192.168.0.2): icmp_seq=3 ttl=64 time=0.100 ms
^C
--- tomcat-net1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2000ms
rtt min/avg/max/mdev = 0.100/0.182/0.337/0.110 ms
参考来源：https://blog.csdn.net/huangjhai/article/details/120425457