docker之高級網絡配置

網絡基礎：
    docker0：
        docker 啓動時，會在宿主機（HOST）上創建一個docker0的虛擬網橋(交換機)。本質上docker0是個birdge，主要提供container和宿主機之間的數據轉發。

        docker0的ip地址是docker在啓動是分配的本地私有網段，常見的172.17.0.0/16。同時container中也會分配同網段的一個ip地址。

    veth pair：
        當創建一個container時，同時也會創建一對veth端口。當向其中一個端口發送數據時，另一個端口也能收到相同的包。有點類似mirror。

        其中一個端口在container中，一般是eth0。另一端 在宿主機中並被掛再到docker0上。名稱以veth開頭。


        docker的網絡結構：
            HOST <--> docker0(vethXXX) <--> container(eth0)

容器的DNS和HOSTMANE：
    容器在創建以後，會自動掛載宿主機上的以下文件：
        /etc/hostname
        /etc/hosts
        /etc/resolv.conf

    這種掛載機制的優點在於宿主機一旦更新以下文件，容器也會自動更新內容，免去專門對容器內文件的編輯。

    若手工指定可以使用以下選項：
        -h
        --link
        --dns
        --dns-search

    注意：若run的時候沒有指定--dns和--dns-search的時候，將使用宿主機的/etc/resolv.conf作爲容器的默認配置。

容器的訪問控制：
    容器訪問外部網絡：
        需要網卡的轉發支持。
        #sysctl net.ipv4.ip_forward
        #sysctl -w net.ipv4.ip_forward=1

        或者在docker服務啓動時，指定--ip-forward=ture。docker會自動設定轉發參數爲1的。


    容器之間的訪問：
        1.容器是否連接到docker0
        2.iptables

        訪問所有端口：
            docker服務啓動的時候時候，默認會添加一條轉發策略到 iptables 的 FORWARD 鏈上，策略的默認值取決於--icc選項的值，--icc一般默認ture，則策略默認爲ACCEPT。若指定了--iptables=false，則在服務啓動時不會添加規則。

            默認情況下是允許不同容器互相訪問的。
            若要禁止互相訪問可以修改docker的配置文件：
                #vim /etc/default/docker ubunt下的配置文件位置
                    DOCKER——OPTS=--icc=false

        訪問指定端口：
            即時--icc=false的情況下，使用--link選項仍然可以讓虛擬機之間完成通信。本質上-icc=false實際上是在iptables中FORWARD添加了一條DROP。
            而--link也是在iptables中分別添加2個容器的相關策略。

容器的端口映射：
    默認情況下，容器是可以訪問外部網絡，但是外部是無法訪問到容器的。
    端口映射本質上也是在iptables中nat添加規則。

    容器訪問外部：
        使用MASQUERADE而不直接使用SNAT。

    外部訪問容器：
        使用DNAT
        -p指定明確的端口和ip地址
        -P指定隨機端口


網橋的配置：
    創建新容器的時候，會從可用地址中使用一個空閒ip作爲容器的eth0地址，使用docker0作爲所有容器的默認網關。

    默認情況下使用docker0，當然也可以自己定義其他的網橋。

    docker0的配置
        方法1：docker服務啓動時使用以下選項，這會覆蓋配置文件中的定義：
            --bip=IP/MASK 指定網橋的IP地址和掩碼
            --mtu=BYTE 指定mtu的大小

        方法2：修改配置文件：
            #vim /etc/default/docker
                DOCKER_OPTS="--bip=IP/MASK  --mtu=BYTE "

    查看網橋：
        #brctl show

    自定義網橋：
        1.創建新網橋：
            #brctl addbr brnew0
            #ip adr add IPADDR/MASK dev birdge
            #ip link set dev brnew0 up

        2.刪除舊網橋：
            #systemctl stop docker
            #ip link set dev docker0 donw
            #brctl delbr docker0

        3.應用新網橋
            方法1：
                docker啓動時，使用-b（--bridge）指定新網橋
            方法2：
                修改配置文件中DOCKER_OPTS的內容，並啓動服務