實現原理
Docker使用Linux橋接（參考《Linux虛擬網路技術》），在宿主機虛擬一個Docker容器網橋(docker0)，Docker啟動一個容器時會根據Docker網橋的網段分配給容器一個IP地址，稱為Container-IP，同時Docker網橋是每個容器的預設閘道器。因為在同一宿主機內的容器都接入同一個網橋，這樣容器之間就能夠通過容器的Container-IP直接通訊。
Docker網橋是宿主機虛擬出來的，並不是真實存在的網路裝置，外部網路是無法定址到的，這也意味著外部網路無法通過直接Container-IP訪問到容器。如果容器希望外部訪問能夠訪問到，可以通過對映容器埠到宿主主機（埠對映），即docker run建立容器時候通過 -p 或 -P 引數來啟用，訪問容器的時候就通過[宿主機IP]:[容器埠]訪問容器。
四類網路模式
| Docker網路模式 | 配置 | 說明 |
|---|---|---|
| host模式 | –net=host | 容器和宿主機共享Network namespace。 |
| container模式 | –net=container:NAME_or_ID | 容器和另外一個容器共享Network namespace。 kubernetes中的pod就是多個容器共享一個Network namespace。 |
| none模式 | –net=none | 容器有獨立的Network namespace，但並沒有對其進行任何網路設定，如分配veth pair 和網橋連線，配置IP等。 |
| bridge模式 | –net=bridge | （預設為該模式） |
host模式
如果啟動容器的時候使用host模式，那麼這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網路卡，配置自己的IP等，而是使用宿主機的IP和埠。但是，容器的其他方面，如檔案系統、程式列表等還是和宿主機隔離的。
使用host模式的容器可以直接使用宿主機的IP地址與外界通訊，容器內部的服務埠也可以使用宿主機的埠，不需要進行NAT，host最大的優勢就是網路效能比較好，但是docker host上已經使用的埠就不能再用了，網路的隔離性不好。
Host模式如下圖所示：
Host模式
container模式
這個模式指定新建立的容器和已經存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。新建立的容器不會建立自己的網路卡，配置自己的 IP，而是和一個指定的容器共享 IP、埠範圍等。同樣，兩個容器除了網路方面，其他的如檔案系統、程式列表等還是隔離的。兩個容器的程式可以通過 lo 網路卡裝置通訊。
Container模式示意圖：
Container網路模式
none模式
使用none模式，Docker容器擁有自己的Network Namespace，但是，並不為Docker容器進行任何網路配置。也就是說，這個Docker容器沒有網路卡、IP、路由等資訊。需要我們自己為Docker容器新增網路卡、配置IP等。
這種網路模式下容器只有lo迴環網路，沒有其他網路卡。none模式可以在容器建立時通過–network=none來指定。這種型別的網路沒有辦法聯網，封閉的網路能很好的保證容器的安全性。
None模式示意圖:
None網路模式
bridge模式
當Docker程式啟動時，會在主機上建立一個名為docker0的虛擬網橋，此主機上啟動的Docker容器會連線到這個虛擬網橋上。虛擬網橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網路中。
從docker0子網中分配一個IP給容器使用，並設定docker0的IP地址為容器的預設閘道器。在主機上建立一對虛擬網路卡veth pair裝置，Docker將veth pair裝置的一端放在新建立的容器中，並命名為eth0（容器的網路卡），另一端放在主機中，以vethxxx這樣類似的名字命名，並將這個網路裝置加入到docker0網橋中。可以通過brctl show命令檢視。
bridge模式是docker的預設網路模式，不寫–net引數，就是bridge模式。使用docker run -p時，docker實際是在iptables做了DNAT規則，實現埠轉發功能。可以使用iptables -t nat -vnL檢視。
bridge模式如下圖所示：
Docker的網路實現
本作品採用《CC 協議》，轉載必須註明作者和本文連結