docker网络设置（待整理）

手动指定容器的配置

-h HOSTNAME or --hostname=HOSTNAME 　　\\设定容器的主机名。

--dns=IP_ADDRESS 　　　　　　　　　　　　　　\\指定DNS地址。

容器访问控制：

iptables 防火墙来进行管理和实现。

容器访问外部网络

需要本地系统的转发支持。

[root@master ~]# sysctl net.ipv4.ip_forward

net.ipv4.ip_forward = 1

如果为 0，说明没有开启转发，则需要手动打开。

$sysctl -w net.ipv4.ip_forward=1　　或者 # echo 1 > /proc/sys/net/ipv4/ip_forward

默认docker容器使用的是bridge策略

docker run -ti ubuntu:latest /bin/bash

\\等效于

docker run -ti --net=bridge ubuntu:latest /bin/bash

获取容器的主进程ID：

docker inspect --format '{{.State.Pid}}' 容器ID或者容器名

创建符号链接：

ln  -s  /proc/2704/ns/net  /var/run/netns/web5

6.1 Docker 四种网络模式

docker run --net 指定网络模式，4 种网络模式：

host 模式，使用 --net=host 指定。
container 模式，使用 --net=container:NAMEorID 指定。
none 模式，使用 --net=none 指定。
bridge 模式，使用 --net=bridge 指定，默认设置。

host 模式：host 模式容器和宿主机共用一个 Network Namespace。容器没有自己的网卡和IP 等，使用宿主机的 IP 和端口。

container 模式：新容器和指定容器共享一个 Network Namespace。和一个指定的容器共享 IP、端口范围等。两个容器的进程可以通过 lo 网卡设备通信。

none模式：Docker 容器拥有自己的 Network Namespace，但是需要我们自己为 Docker 容器添加网卡、配置 IP等。

访问所有端口

当启动 Docker 服务时候，默认会添加一条转发策略到 iptables 的 FORWARD 链上。策略为通过（ ACCEPT ）还是禁止（ DROP ）取决于配置 --icc=true （缺省值）还是 --icc=false 。当然，如果手动指定 --iptables=false 则不会添加 iptables 规则。

可见，默认情况下，不同容器之间是允许网络互通的。如果为了安全考虑，可以在 /etc/default/docker文件中配置 DOCKER_OPTS=--icc=false 来禁止它

访问指定端口

在通过 -icc=false 关闭网络访问后，还可以通过 --link=CONTAINER_NAME:ALIAS 选项来访问容器的开放端口。

例如，在启动 Docker 服务时，可以同时使用 icc=false --iptables=true 参数来关闭允许相互的网络访问，并让 Docker 可以修改系统中的 iptables 规则。

此时，系统中的 iptables 规则可能是类似

$ sudo iptables -nL

...

Chain FORWARD (policy ACCEPT)

target prot opt source destination

DROP all -- 0.0.0.0/0 0.0.0.0/0

...

之后，启动容器（ docker run ）时使用 --link=CONTAINER_NAME:ALIAS 选项。Docker 会在 iptable 中为两个容器分别添加一条 ACCEPT 规则，允许相互访问开放的端口（取决于 Dockerfile 中的 EXPOSE 行）。

当添加了 --link=CONTAINER_NAME:ALIAS 选项后，添加了 iptables 规则

$ sudo iptables -nL

...

Chain FORWARD (policy ACCEPT)

target prot opt source destination

ACCEPT tcp -- 172.17.0.2 172.17.0.3 tcp spt:80

ACCEPT tcp -- 172.17.0.3 172.17.0.2 tcp dpt:80

DROP all -- 0.0.0.0/0 0.0.0.0/0

注意： --link=CONTAINER_NAME:ALIAS 中的 CONTAINER_NAME 目前必须是 Docker 分配的名字，或使用 --name 参数指定的名字。主机名则不会被识别