Docker容器网络深度解析：从bridge到overlay

本文深入剖析Docker容器网络的底层实现原理，帮助你理解容器如何通信，以及如何设计容器网络架构。

为什么需要容器网络？

容器网络需要解决三个核心问题：

1. 容器间通信 - 同一主机、跨主机容器如何通信
2. 容器与外部通信 - 如何访问外网、如何被外网访问
3. 网络隔离 - 不同应用如何网络隔离

Docker网络模式

五种网络模式

┌─────────────────────────────────────────────────────────┐
│                    Docker Host                          │
│                                                         │
│  ┌──────────┐  ┌──────────┐  ┌──────────┐  ┌────────┐  │
│  │ bridge   │  │  host    │  │  none    │  │overlay │  │
│  │ (默认)   │  │          │  │          │  │        │  │
│  └──────────┘  └──────────┘  └──────────┘  └────────┘  │
│                                                         │
│  ┌──────────┐  ┌──────────┐                            │
│  │container │  │  macvlan │                            │
│  │  共享网络│  │  物理网络│                            │
│  └──────────┘  └──────────┘                            │
└─────────────────────────────────────────────────────────┘

1. Bridge网络（默认）

# 查看默认bridge网络
docker network ls
# NETWORK ID    NAME      DRIVER    SCOPE
# bridge        bridge    bridge    local

# 查看bridge网络详情
docker network inspect bridge

Bridge网络特点：

┌─────────────────────────────────────────────────────────┐
│                    Docker Host                          │
│                                                         │
│  ┌─────────────────────────────────────────────────┐   │
│  │              docker0 (虚拟网桥)                  │   │
│  │              IP: 172.17.0.1/16                  │   │
│  └─────────────────────────────────────────────────┘   │
│                    ↑        ↑        ↑                  │
│                  veth0    veth1    veth2                │
│                    ↓        ↓        ↓                  │
│  ┌─────────┐  ┌─────────┐  ┌─────────┐                │
│  │ 容器A   │  │ 容器B   │  │ 容器C   │                │
│  │172.17.0.2│ │172.17.0.3│ │172.17.0.4│                │
│  └─────────┘  └─────────┘  └─────────┘                │
└─────────────────────────────────────────────────────────┘

关键组件：

2. Host网络

# 使用host网络模式
docker run -d --network host nginx

# 容器直接使用宿主机网络，无隔离

特点：

• 性能最佳，无网络开销
• 无网络隔离
• 端口冲突风险

3. None网络

# 无网络配置
docker run -it --network none alpine sh

# 容器内只有loopback接口

适用场景：

• 完全隔离的安全测试
• 离线数据处理

4. Overlay网络

# 创建overlay网络（Swarm模式）
docker network create --driver overlay my-overlay

# 跨主机容器通信
docker service create --network my-overlay nginx

Overlay网络架构：

┌─────────────────────────────────────────────────────────┐
│                    Host A (192.168.1.10)                │
│                                                         │
│  ┌─────────────────────────────────────────────────┐   │
│  │              VXLAN Tunnel                       │   │
│  │              (UDP 4789)                         │   │
│  └─────────────────────────────────────────────────┘   │
│                    ↑                    ↓                │
│  ┌─────────┐    ┌─┴─┐              ┌──┴──┐             │
│  │ 容器A   │ ←→ │eth0│ ←─────────→ │eth0 │ ←→ 容器C   │
│  │10.0.0.2 │    └───┘   跨主机     └─────┘             │
│  └─────────┘                     Host B (192.168.1.20)│
└─────────────────────────────────────────────────────────┘

5. Macvlan网络

# 创建macvlan网络
docker network create -d macvlan \
  --subnet=192.168.1.0/24 \
  --gateway=192.168.1.1 \
  -o parent=eth0 \
  my-macvlan

# 容器直接使用物理网络
docker run -d --network my-macvlan nginx

特点：

• 容器直接接入物理网络
• 每个容器有独立MAC地址
• 性能接近物理机

Bridge网络深度解析

网络命名空间

每个容器拥有独立的网络命名空间：

# 查看容器网络命名空间
docker inspect nginx | grep -A 5 NetworkSettings

# 进入容器网络命名空间
docker exec -it nginx sh
# 或使用nsenter
nsenter -t <pid> -n ip addr

veth pair原理

# 查看veth设备
ip link show

# 典型输出：
# 3: veth1234567@if2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP

veth pair工作流程：

1. 创建veth pair（veth0, veth1）
2. veth0放入容器网络命名空间，命名为eth0
3. veth1连接到docker0网桥
4. 容器通过eth0发送数据 → veth0 → veth1 → docker0

NAT与端口映射

# 端口映射
docker run -d -p 8080:80 nginx

# 查看iptables规则
iptables -t nat -L -n

# 输出：
# Chain DOCKER
# target     prot opt source               destination
# DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp to:172.17.0.2:80

NAT流程：

外部请求 192.168.1.100:8080
    ↓
PREROUTING (DNAT): 192.168.1.100:8080 → 172.17.0.2:80
    ↓
FORWARD: 检查防火墙规则
    ↓
POSTROUTING (SNAT): 172.17.0.2 → 192.168.1.100
    ↓
容器接收请求

自定义Bridge网络

创建自定义网络

# 创建自定义bridge网络
docker network create \
  --driver bridge \
  --subnet=172.20.0.0/16 \
  --gateway=172.20.0.1 \
  my-bridge

# 使用DNS自动发现
docker run -d --network my-bridge --name db postgres
docker run -d --network my-bridge --name app my-app

# 在app容器内可以直接ping db
# 因为Docker内嵌DNS服务器

内嵌DNS服务器

# Docker DNS配置
cat /etc/resolv.conf
# nameserver 127.0.0.11  # Docker内嵌DNS
# options ndots:0

# DNS解析流程
# 1. 查询内嵌DNS（127.0.0.11）
# 2. 解析容器名到容器IP
# 3. 支持自定义域名

跨主机容器通信

方案1：Macvlan

┌─────────────────────────────────────────────────────────┐
│                    物理网络 192.168.1.0/24              │
│                                                         │
│   ┌─────────┐              ┌─────────┐                 │
│   │ 容器A   │              │ 容器B   │                 │
│   │192.168.1.100│          │192.168.1.101│              │
│   └─────────┘              └─────────┘                 │
│        ↑                        ↑                       │
│   ┌────┴────┐              ┌────┴────┐                 │
│   │eth0     │              │eth0     │                 │
│   │MAC: AA:BB│              │MAC: CC:DD│                │
│   └─────────┘              └─────────┘                 │
│   Host A                   Host B                      │
└─────────────────────────────────────────────────────────┘

方案2：Overlay（VXLAN）

# 初始化Swarm
docker swarm init --advertise-addr 192.168.1.10

# 其他节点加入
docker swarm join --token <token> 192.168.1.10:2377

# 创建overlay网络
docker network create --driver overlay --attachable my-overlay

# 跨主机服务
docker service create --network my-overlay nginx

方案3：第三方CNI插件

# 使用Flannel
kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml

# 使用Calico
kubectl apply -f https://docs.projectcalico.org/manifests/calico.yaml

网络性能优化

1. 调整MTU

# 查看MTU
ip link show docker0

# 修改MTU（Overlay网络建议1450）
docker network create \
  --driver overlay \
  --opt com.docker.network.driver.mtu=1450 \
  my-overlay

2. 使用Host网络

# 高性能场景使用host网络
docker run -d --network host redis

3. 调整内核参数

# 增加文件描述符限制
ulimit -n 65536

# 调整网络缓冲区
sysctl -w net.core.rmem_max=16777216
sysctl -w net.core.wmem_max=16777216

4. 使用多队列网卡

# 查看网卡队列数
ethtool -l eth0

# 设置多队列
ethtool -L eth0 combined 8

网络安全配置

网络隔离

# 创建隔离网络
docker network create --driver bridge --subnet=172.30.0.0/16 frontend
docker network create --driver bridge --subnet=172.31.0.0/16 backend

# 前端容器
docker run -d --network frontend --name web nginx

# 后端容器（不暴露到前端网络）
docker run -d --network backend --name db postgres

# 只允许web访问db
docker network connect backend web

防火墙规则

# 限制容器访问
iptables -I DOCKER-USER -i eth0 -o br-xxxx -j DROP

# 只允许特定IP访问
iptables -I DOCKER-USER -s 192.168.1.0/24 -j ACCEPT
iptables -I DOCKER-USER -j DROP

实战：容器网络排错

常用排查命令

# 1. 查看网络配置
docker network inspect bridge

# 2. 查看容器网络
docker exec -it nginx ip addr
docker exec -it nginx ip route

# 3. 测试连通性
docker exec -it nginx ping 172.17.0.2

# 4. 查看iptables规则
iptables -t nat -L -n -v

# 5. 抓包分析
tcpdump -i docker0 -nn

常见问题

总结

网络设计建议：

1. 单机应用使用自定义bridge网络
2. 跨主机使用overlay或macvlan
3. 高性能场景考虑host网络
4. 生产环境做好网络隔离
5. 定期监控网络性能