Docker容器4種網絡模式
基於docker run創建docker容器時，可使用--net選項指定容器網絡模式，Docker網絡模式有：
1)、None模式
不爲容器配置任何網絡。--network none
# docker run -it --network none busybox:latest
Unable to find image 'busybox:latest' locally
latest: Pulling from library/busybox
ee153a04d683: Pull complete
Digest: sha256:9f1003c480699be56815db0f8146ad2e22efea85129b5b5983d0e0fb52d9ab70
Status: Downloaded newer image for busybox:latest
/ #
/ # ifconfig
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
/ # 容器內無IP地址，無法連接外網，宿主機未分配IP。
2)、Container模式
與另一正在運行的容器共享Network Namespace。--network=container:containerID
新創建的容器不會有自己的IP、網卡信息， 與指定的容器共享網絡環境。容器除了網絡方面，其他都是隔離的，如文件系統、進程等。
3)、Host模式
與宿主機共享Network Namespace。--network=host
# docker run -it --network host centos:latest輸入上述命令後發現沒啥變化，其實已經進入容器了，因與宿主機公用網絡，主機名也和宿主機一樣。容器不會有網卡等信息，都使用宿主機IP和端口，如果宿主機開放啥端口，容器內也相應開放，相對而言網絡安全性不夠。
4)、Bridge橋接模式
Docker的NAT網絡模型，是docker默認的網絡模式，宿主機會自動給docker容器分配Network Namespace，獨立的虛擬IP，docker容器會連接到docker0虛擬網橋上，使之能連接網絡。
Docker Bridge橋接網絡原型圖
宿主機兩個網卡：eth0、docker0。docker服務啓動會自動創建一個橋接網卡docker0（172.17.0.1），同時出現一個網橋docker0（# brctl show）查看：
[root@docker-qa ~]# brctl show
bridge name bridge id STP enabled interfaces
docker0 8000.024267a34c5d no veth008914e9
veth04d070a5
veth109e9cae
veth126cdf5將所有docker的虛擬網卡連接到docker0網橋上，docker容器啓動會按順序分配IP。
Docker Bridge橋接創建過程：
1) 宿主機創建一對虛擬網卡veth pair設備，veth都是成對出現，用來連接兩個網絡設備，進行數據傳輸。
2) veth pair設備一端在容器中，命名eth0，另一端在docker0網橋中， brctl show命令查看。
3) docker0分配一IP給容器，並設置docker0的IP爲容器默認網關。
4) 容器與宿主機可通信了。Bridge模式下，同一網橋下的容器可互通，並容器可訪問外網。
docker容器與外網能連接，主要關鍵性作用是Linux內核，Linux內核將容器橋接網卡信號轉發到eth0，然後eth0與外網連接，其中需先在Linux系統配置項net.ipv4.ip_forward=1用來配置轉發
容器訪問外網
容器中的應用要連接外網，可通過-P或-p參數指定端口映射。
-P docker隨機映射： docker run -d -P --name nginxTest nginx
-p docker指定映射：-p hostPort：containerPort
-p ip:hostPort：containerPort
-p ip::containerPort #宿主機任意Port映射容器指定的Port
-p hostPort：containerPort：udp如果宿主機開啓iptables規則，端口映射完成後， 會在iptables防火牆規則中後面加入對應端口開放的規則。
容器互連，除了進行端口映射外，還可通過在docker run是指定 --link參數實現容器間的安全交互。例如：
創建一DB容器：
#docker run -d --name dbserver test/mysql創建一Web容器，並將它連接到dbserver容器
#docker run -p 8080:8090 --name myweb --link dbserver:db mywebtest:latest此時，docker在兩個互聯的容器建立一安全隧道，並無需映射端口到宿主機，在docker run dbserver容器時並未使用-P或-p指定端口，從而避免dbserver數據庫容器端口暴露在外，增強了安全性。
--link格式爲：--link name:alias，name爲要連接的容器名稱，alias是連接的別名。但docker的後續版本中，會取消docker run中的--link選項。
數據庫容器dbserver 與 web容器互聯。現在通過docker exec進入到web容器裏，查看hosts文件，可發現有數據庫容器dbserver解析的IP和主機名信息。且ping通link的別名。