初識Docker容器網絡模式

1. Docker容器4種網絡模式
   基于docker run創建docker容器時，可使用--net選項指定容器網絡模式，Docker網絡模式有：
   1)、None模式
   不為容器配置任何網絡。--network none

   # docker run -it --network none busybox:latest
   Unable to find image 'busybox:latest' locally
   latest: Pulling from library/busybox
   ee153a04d683: Pull complete 
   Digest: sha256:9f1003c480699be56815db0f8146ad2e22efea85129b5b5983d0e0fb52d9ab70
   Status: Downloaded newer image for busybox:latest
   / # 
   / # ifconfig
   lo        Link encap:Local Loopback  
         inet addr:127.0.0.1  Mask:255.0.0.0
         UP LOOPBACK RUNNING  MTU:65536  Metric:1
         RX packets:0 errors:0 dropped:0 overruns:0 frame:0
         TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
         collisions:0 txqueuelen:1 
         RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
   / # 

   容器內無IP地址，無法連接外網，宿主機未分配IP。
   2)、Container模式
   與另一正在運行的容器共享Network Namespace。--network=container:containerID
   新創建的容器不會有自己的IP、網卡信息， 與指定的容器共享網絡環境。容器除了網絡方面，其他都是隔離的，如文件系統、進程等。
   3)、Host模式
   與宿主機共享Network Namespace。--network=host

   # docker run -it --network host centos:latest

   輸入上述命令后發現沒啥變化，其實已經進入容器了，因與宿主機公用網絡，主機名也和宿主機一樣。容器不會有網卡等信息，都使用宿主機IP和端口，如果宿主機開放啥端口，容器內也相應開放，相對而言網絡安全性不夠。
   4)、Bridge橋接模式
   Docker的NAT網絡模型，是docker默認的網絡模式，宿主機會自動給docker容器分配Network Namespace，獨立的虛擬IP，docker容器會連接到docker0虛擬網橋上，使之能連接網絡。
   Docker Bridge橋接網絡原型圖
   
   宿主機兩個網卡：eth0、docker0。docker服務啟動會自動創建一個橋接網卡docker0（172.17.0.1），同時出現一個網橋docker0（# brctl show）查看：

   [root@docker-qa ~]# brctl show
   bridge name     bridge id       STP enabled     interfaces
   docker0     8000.024267a34c5d       no          veth008914e9
                                               veth04d070a5
                                               veth209e9cae
                                               veth226cdf5

   將所有docker的虛擬網卡連接到docker0網橋上，docker容器啟動會按順序分配IP。
   Docker Bridge橋接創建過程：
   1) 宿主機創建一對虛擬網卡veth pair設備，veth都是成對出現，用來連接兩個網絡設備，進行數據傳輸。
   2) veth pair設備一端在容器中，命名eth0，另一端在docker0網橋中， brctl show命令查看。
   3) docker0分配一IP給容器，并設置docker0的IP為容器默認網關。
   4) 容器與宿主機可通信了。Bridge模式下，同一網橋下的容器可互通，并容器可訪問外網。
   docker容器與外網能連接，主要關鍵性作用是Linux內核，Linux內核將容器橋接網卡信號轉發到eth0，然后eth0與外網連接，其中需先在Linux系統配置項net.ipv4.ip_forward=1用來配置轉發

2. 容器訪問外網
   容器中的應用要連接外網，可通過-P或-p參數指定端口映射。

   -P   docker隨機映射： docker run -d -P --name nginxTest nginx
   -p   docker指定映射：-p hostPort：containerPort
                    -p ip:hostPort：containerPort
                    -p ip::containerPort    #宿主機任意Port映射容器指定的Port
                    -p hostPort：containerPort：udp

   如果宿主機開啟iptables規則，端口映射完成后， 會在iptables防火墻規則中后面加入對應端口開放的規則。

3. 容器互連方式-link
   容器互連，除了進行端口映射外，還可通過在docker run是指定 --link參數實現容器間的安全交互。例如：
   創建一DB容器：

   #docker run -d --name dbserver test/mysql

   創建一Web容器，并將它連接到dbserver容器

   #docker run -p 8080:8090 --name myweb --link dbserver:db  mywebtest:latest

   此時，docker在兩個互聯的容器建立一安全隧道，并無需映射端口到宿主機，在docker run dbserver容器時并未使用-P或-p指定端口，從而避免dbserver數據庫容器端口暴露在外，增強了安全性。
   --link格式為：--link name:alias，name為要連接的容器名稱，alias是連接的別名。但docker的后續版本中，會取消docker run中的--link選項。
   數據庫容器dbserver 與 web容器互聯。現在通過docker exec進入到web容器里，查看hosts文件，可發現有數據庫容器dbserver解析的IP和主機名信息。且ping通link的別名。