1、查看docker网络
docker network ls
2、查看bridge网络的详细信息
docker network inspect
看到当前虚机有三个容器，每个容器都有自己的网段以及ip地址
3、在虚拟机中运行ip a命令查看所有网络接口信息
ip a
其中docker0属于本机，要和容器进行通信，就需要本地和容器有一对 veth接口对。
4、查看容器接口对以及ip信息
docker exec 3cea9f8e0a2d ip a
可以看出该容器和本地的57号接口 同属于一个接口对。正式由于这一对接口的存在才保证了docker容器和本地进行通信。
也就是说：docker容器连接到docker0，然后通过docker0访问其他容器以及外网。
5、通过命令检查容器连接到docker0
brctl show --需要安装插件 bridge-utils
可以看到当前有三个容器接口连接到docker0，和上面在本地通过ip a查看到的网络接口信息一致。
6、单个容器如何和外网进行通信：结构图如下
（1）、首先linux主机是可以通过eth0访问外网 internet
（2）、容器里面的数据包，要访问外网，会进过docker0 这个bridge。在此处做一个网络地址转换（NAT），转换成eth0的地址，然后作为linux主机的一个数据包被发送到外网，自然就访问了外网。
（3）、此处的NAT网络地址转换是通过iptables来实现的。
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
这条规则会将源地址为172.17.0.0/16的包（也就是从Docker容器产生的包），并且不是从docker0网卡发出的，进行源地址转换，转换成主机网卡的地址。这么说可能不太好理解，举一个例子说明一下。
假设主机有一块网卡为eth0，IP地址为10.10.101.105/24，网关为10.10.101.254。从主机上一个IP为172.17.0.1/16的容器中ping百度（180.76.3.151）。IP包首先从容器发往自己的默认网关docker0，包到达docker0后，也就到达了主机上。然后会查询主机的路由表，发现包应该从主机的eth0发往主机的网关10.10.105.254/24。接着包会转发给eth0，并从eth0发出去（主机的ip_forward转发应该已经打开）。这时候，上面的Iptable规则就会起作用，对包做SNAT转换 ( 源地址转换 )，将源地址换为eth0的地址。这样，在外界看来，这个包就是从10.10.101.105上发出来的，Docker容器对外是不可见的。
反之，假如对一个web容器做端口映射，-p 80:80，那么容器启动之后，在iptables规则中则会生成一条类似如下的规则。也就是对包做了一个DNAT转换（目的地址转换），将访问主机80端口的包转换成容器的ip地址，从而发往容器。
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.5:80
7、新建docker network
docker network create -d bridge my-bridge
-d --指定Driver为bridge
8、新建docker时指定使用那个bridge
docker run -d --name test --network my-bridge busybox /bin/sh
可以通过brctl show 检测到接口绑定到my-bridge上。
9、修改已经运行的docker连接的network
docker network connect my-bridge test
my-bridge 表示network
test 表示容器名
但是通过此种方法，test默认在docker0上的连接不会删除，只会在my-bridge这个网桥上新建一个连接
如果bridge是用户自己创建的，并且连接有多个容器，那么这些容器之间不仅可以通过ping ip，还可以通过ping 容器名，默认容器之间是使用了--link 参数的，可以相互连通。
