docker网络配置

docker网络类型

none:不为容器配置任何网络功能，--net=none

container:与另一个运行中的容器共享network namespace,--net=container:containerid（k8s）

host:与宿主机共享network namespace,--network=host(性能最好，但是端口谁的服务先启动占用是谁的。也就意味着端口会冲突，需要额外注意)

brideg:docker设置的nat网络模型

docker默认使用网络

当 Docker 启动时，会自动在宿主机上创建一个 docker0 虚拟网桥，实际上是Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进行转发。

[root@docker01 ~]# ifconfig 
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
 inet 172.17.0.1  netmask 255.255.0.0  broadcast 0.0.0.0

同时，Docker 随机分配一个本地未占用的私有网络（在RFC1918中定义）中的一个地址给 docker0接口。比如典型的 172.17.0.1，掩码为255.255.0.0。此后启动的容器内的网口也会自动分配一个网段（172.17.0.0/16）的地址。

当创建一个 Docker 容器的时候，同时会创建一个 veth pair 接口（当数据包发送到一个接口时，另外一个接口也可以接收相同的数据包）。这对接口一端在容器内，即 eth0；另一端在本地并被挂载到docker0 网桥，名称以veth 开头（例如 veth4c45933）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。Docker 就创建了在主机和所有容器之间的一个虚拟共享网络。

img

快速配置指南

Docker 网络相关的命令列表

只有在Docker 服务启动的时候才能配置，而且不能马上生效的有：

-b  BRIDGE  or --bridge=BRIDGE        --指定容器挂载的网桥
--bip=CIDR        　　　　　　　　　　   --定制docker0的掩码
-H SOCKET... or --host=SOCKET...      --Docker服务端接收命令的通道
--icc=true|false        　　　　　　　　--是否支持容器之间进行通信
--ip-forward=true|false        　　　　--请看下文容器之间的通信
--iptables=true|false        　　　　  --是否允许Docker添加iptables规则
--mtu=BYTES        　　　　　　　　     --容器网络中的MTU

既可以在启动服务时指定，也可以 Docker容器启动（docker run）时候指定。在Docker 服务启动的时候指定则会成为默认值，后面执行 docker run 时可以覆盖设置的默认值

--dns=IP_ADDRESS...        　　--使用指定的DNS服务器
--dns-search=DOMAIN...        --指定DNS搜索域

只有在 docker run 执行时使用，因为它是针对容器的特性内容：

-h  HOSTNAME  or  --hostname=HOSTNAME        --配置容器主机名
--link=CONTAINER_NAME:ALIAS        　　　　　　--添加到另一个容器的连接
--net=bridge|none|container:NAME_or_ID|host  --配置容器的桥接模式
-p  SPEC  or  --publish=SPEC        　　　　　 --映射容器端口到宿主主机
-P  or  --publish-all=true|false        　　　--映射容器所有端口到宿主主机

配置 DNS

Docker 没有为每个容器专门定制镜像，那么怎么自定义配置容器的主机名和DNS配置？秘诀就是它利用虚拟文件来挂载到容器的3个相关的配置文件。

在容器中使用mount命令可以看到挂载信息：

[root@docker01 ~]# docker run --rm --name centos7 -it centos:7 /bin/bash 
[root@256b1ca30e82 /]# mount
......
/dev/sda3 on /etc/resolv.conf type xfs (rw,relatime,attr2,inode64,noquota)
/dev/sda3 on /etc/hostname type xfs (rw,relatime,attr2,inode64,noquota)
/dev/sda3 on /etc/hosts type xfs (rw,relatime,attr2,inode64,noquota)
.......

这种机制可以让宿主机DNS信息发生更新后，所有Docker容器的 dns 配置通过 /etc/resolv.conf 文件立刻得到更新。

如果想要手动指定容器的配置，可以利用下面的选项。

-h HOSTNAME or --hostname=HOSTNAME 设定容器的主机名，它会被写到容器的/etc/hostname 和 /etc/hosts。
但它在容器外部看不到，既不会在docker ps中显示，也不会在其它容器的 /etc/hosts看到
​
[root@docker01 ~]# docker run --rm -h mydocker_test --name Centos -it centos:7 /bin/bash 　　#创建一个指定 HOSTNAME的容器
[root@mydocker_test /]# cat /etc/hostname　　#查看hostname文件信息
mydocker_test
[root@mydocker_test /]# cat /etc/hosts　　#查看hosts文件信息
...
172.17.0.5    mydocker_test

--dns=IP_ADDRESS 添加DNS服务器到容器的 /etc/resolv.conf中，让容器利用这个服务器来解析所有不在 /etc/hosts 中的主机名
​
[root@server ~]# docker run --rm --dns=114.114.114.114 --name myCentos -it centos /bin/bash 　　#创建一个容器，并指定dns为114.114.114.114
[root@aa199cd14e2a /]# cat /etc/resolv.conf 
nameserver 114.114.114.114

--dns-search=DOMAIN 设定容器的搜索域，当设定搜索域为 .example.com时，再搜索一个名为 host的主机时，DNS不仅搜索host，还会搜索host.example.com。

注意：如果没有--dns 和--dns-search选项时，Docker会默认用宿主机上的 /etc/resolv.conf 来配置容器。

容器访问控制

容器的访问控制，主要通过Linux上的 iptables 防火墙来进行管理和实现。

容器访问外部网络

容器要想访问外部网络，需要本地系统的转发支持，在linux系统中，检查转发是否打开

[root@docker01 ~]# sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1

如果为0，说明没有开启转发，则需要手动打开

[root@docker01 ~]# sysctl -w net.ipv4.ip_forward=1</pre>

如果在启动Docker服务的时候指定 --ip-forward=true，Docker就会自动设定系统的 ip_forward 参数为1。

[root@docker01 ~]# docker run -it centos:7 /bin/bash 　　#启动一个容器
[root@2bdfb90cb3e0 /]# ping qq.com　　#测试是否能够访问外部网络
PING qq.com (180.163.26.39) 56(84) bytes of data.
64 bytes from 180.163.26.39 (180.163.26.39): icmp_seq=1 ttl=52 time=29.6 ms
64 bytes from 180.163.26.39 (180.163.26.39): icmp_seq=2 ttl=52 time=29.3 ms

容器之间访问

容器之间互相访问，需要两方面的支持。

  • 容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到 docker0 网桥上

  • 本地系统的 iptables 是否允许通过

默认情况下，容器之间是可以相互通信的

访问所有的端口

当启动Docker 服务时，默认会添加一条转发策略到iptables 的FORWARD链上。策略为通过（ACCEPT）还是禁止（DROP）取决于配置 --icc=true 还是 --icc=false。如果手动指定 --iptables=false 则不会添加iptables 规则。

可见，默认情况下，不同容器之间是允许网络互通的。如果是为了安全考虑，可以在/etc/default/docker 文件中配置 DOCKER_OPTS=--icc=false 来禁止它。

容器访问外部网络

容器所有到外部网络的连接，源地址都会被NAT成本地系统的IP地址，这是使用iptables 的源地址伪装操作实现的。

查看主机的NAT规则

[root@docker01 ~]# iptables -t nat -nL　　#查看防火墙nat表的规则
...
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination 
MASQUERADE  all  --  172.17.0.0/16        0.0.0.0/0 
...

其中，上述规则将所有源地址在 172.17.0.0/16 网段，目标地址为其它网络（外部网络）的流量动态伪装为从系统网卡发出。MASQUERADE 跟传统的 SNAT的好处就是它能动态从网卡获取地址。

外部网络访问容器

容器允许外部访问，可以在docker run 时候通过 -p 或 -P 参数来启用。不论用哪种，其实也是在本地的 iptables 的nat表中添加相应的规则。
使用 -P 时：

[root@docker01 ~]# docker run -d  -P centos_nginxsrc:v4
​
[root@docker01 ~]# iptables -t nat -nL　　#查看防火墙nat表的规则
...
Chain DOCKER (2 references)
target     prot opt source               destination 
RETURN     all  --  0.0.0.0/0            0.0.0.0/0 
RETURN     all  --  0.0.0.0/0            0.0.0.0/0 
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:32770 to:172.17.0.2:80
...

使用 -p时：

[root@docker01 ~]# docker run -d  -p 80:80 centos_nginxsrc:v4
[root@docker01 ~]# iptables -t nat -nL　　#查看防火墙规则
Chain DOCKER (2 references)
target     prot opt source               destination 
RETURN     all  --  0.0.0.0/0            0.0.0.0/0 
RETURN     all  --  0.0.0.0/0            0.0.0.0/0 
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.17.0.3:80
注意：这里规则映射了 0.0.0.0，意味着将接收主机来自所有的接口的流量。

docker容器互联（--link 单向连接）

容器的连接（linking）系统除了端口映射外，另一种是容器中应用交互的方式。该系统会在源和接收容器之间创建一个隧道，接受容器可以看到源容器指定的信息。

使用 --link 参数可以让容器之间安全的进行交互
--link=CONTAINER_NAME:ALIAS 选项会在创建容器的时候，添加一个其他容器 的主机名到/etc/hosts 文件中，让新容器的进程可以使用主机名 ALIAS 就可以 连接它。

[root@docker01 ~]# docker run -d centos_nginx:v8
[root@docker01 ~]# docker run -it --link relaxed_beaver:centos centos_nginx:v8 /bin/bash
[root@29727ef3368f html]# curl -I http://centos
HTTP/1.1 200 OK
Server: nginx/1.16.1
Date: Fri, 10 Jan 2020 11:20:59 GMT
Content-Type: text/html
Content-Length: 3049
Last-Modified: Sat, 02 Aug 2014 07:55:12 GMT
Connection: keep-alive
ETag: "53dc9960-be9"
Accept-Ranges: bytes
[root@29727ef3368f html]# cat /etc/host
host.conf    hostname     hosts        hosts.allow  hosts.deny 
[root@29727ef3368f html]# cat /etc/hosts
127.0.0.1  localhost
::1  localhost ip6-localhost ip6-loopback
fe00::0  ip6-localnet
ff00::0  ip6-mcastprefix
ff02::1  ip6-allnodes
ff02::2  ip6-allrouters
172.17.0.2  centos 4aab87b1acae relaxed_beaver
172.17.0.3  29727ef3368f
[root@docker01 ~]# docker run -d --name v1 centos_nginx:v8
9d0148cdde0e19fd6a67528f00e1aa005ac63c97faf663082ee8dbbfda9e4e69
[root@docker01 ~]# docker run -it --link v1:v1 centos_nginx:v8 /bin/bash
[root@58eb67de759a html]# cat /etc/hosts
127.0.0.1  localhost
::1  localhost ip6-localhost ip6-loopback
fe00::0  ip6-localnet
ff00::0  ip6-mcastprefix
ff02::1  ip6-allnodes
ff02::2  ip6-allrouters
172.17.0.3  v1 9d0148cdde0e
172.17.0.4  58eb67de759a
[root@58eb67de759a html]# curl -I http://v1
HTTP/1.1 200 OK
Server: nginx/1.16.1
Date: Fri, 10 Jan 2020 11:49:36 GMT
Content-Type: text/html
Content-Length: 3049
Last-Modified: Sat, 02 Aug 2014 07:55:12 GMT
Connection: keep-alive
ETag: "53dc9960-be9"
Accept-Ranges: bytes

配置 docker0 网桥

Docker 服务默认会创建一个 docker0 网桥（其实有一个 docker0 内部接口），它在内核层连通了其它的物理网卡或虚拟网卡，这就将所有容器和本地主机都放到同一个物理网络。

Docker 默认指定了 docker0 接口的 IP 地址和子网掩码，让主机和容器之间可以通过网桥相互通信，它还给出了MTU（接口允许接收的最大传输单元），通常是1500Bytes，或宿主机网络路由上支持的默认值，这些值都可以在服务启动的时候进行配置。

--bip=CIDR   --IP地址加掩码格式，例如 192.168.1.2/24
--mtu=BYTES  --覆盖默认的 Docker mtu配置

也可以在配置文件中配置 DOCKER_OPTS， 然后重启服务，由于目前Docker网桥是Linux网桥，可以使用 brctl show 来查看网桥和端口连接信息

[root@server ~]# brctl show　　#查看网桥和端口信息
bridge name    bridge id        STP enabled    interfaces
docker0        8000.0242d8da46c0    no        veth07c5f5c
 veth0bed0f7

每次创建一个新容器的时候，Docker 从可用的地址段中选择一个空闲的 IP 地址分配给容器的 eth0 端口。使用本地主机上 docker0 接口的IP 作为所有容器的默认网关

[root@docker01 ~]# docker run -it --rm --name myCentos centos /bin/bash
[root@4636797a8e7c /]# ifconfig 
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
 inet 172.17.0.6  netmask 255.255.0.0  broadcast 172.17.255.255
...
​
[root@4636797a8e7c /]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         172.17.0.1      0.0.0.0         UG    0      0        0 eth0
172.17.0.0      0.0.0.0         255.255.0.0     U     0      0        0 eth0

自定义网桥

除了默认的 docker0 网桥，也可以指定网桥来连接各个容器

在启动Docker 服务的时候， 使用 -b BRIDGE 或 --bridge=BRIDGE 来指定使用的网桥

（1）先创建网桥

[root@docker01 ~]# systemctl stop docker　　#停止docker服务
[root@docker01 ~]# ip link set dev docker0 down　　#停止docker0网桥
[root@server ~]# brctl delbr docker0　　#删除docker0网桥
​
[root@docker01 ~]# brctl addbr bridge0　　#新建bridge0网桥
[root@docker01 ~]# ip addr add 172.16.2.1/24 dev bridge0　　#绑定ip给bridge0网桥
[root@docker01 ~]# ip link set dev bridge0 up　　#启动bridge0网桥
[root@docker01 ~]# brctl show 　　#查看网桥信息
bridge name    bridge id        STP enabled    interfaces
bridge0        8000.000000000000    no        
virbr0        8000.525400caf93e    yes        virbr0-nic
[root@docker01 ~]# ifconfig bridge0　　#查看bridge0网桥信息
bridge0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
 inet 172.16.2.1  netmask 255.255.255.0  broadcast 0.0.0.0

（2）配置Docker 服务

[root@docker01 ~]# vim /lib/systemd/system/docker.service　　#由于新版本的没有/etc/default/docker配置文件，所以需要自己添加。
ExecStart=/usr/bin/dockerd -H unix:// $DOCKER_OPTS　　#在ExecStart末尾添加 $DOCKER_OPTS
EnvironmentFile=-/etc/default/docker　　　　#指定配置文件的路径
​
[root@docker01 ~]# vim /etc/default/docker　　#自定义编辑配置文件，写入启动指定网桥的网桥信息
DOCKER_OPTS="-b=bridge0"
​
[root@docker01 ~]# systemctl start docker　　#启动docker服务
[root@docker01 ~]# docker run --rm -ti --name Mycentos centos /bin/bash　　#创建一个容器
​
[root@0a13bd05faae /]# ifconfig　　#查看容器的ip地址，检查是否桥接到birdge0上面
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
 inet 172.16.2.2  netmask 255.255.255.0  broadcast 192.168.2.255
​
[root@0a13bd05faae /]# ping 172.16.2.1　　#测试和网桥是否通
PING 192.168.2.1 (172.16.2.1) 56(84) bytes of data.
64 bytes from 172.16.2.1: icmp_seq=1 ttl=64 time=0.094 ms

说明：在老版本docker上面默认就有/etc/default/docker配置文件，直接编辑即可， 在新版本上面没有，所以需要自己指定。

创建一个点到点的连接

默认情况下，Docker 会将所有的容器连接到由 docker0 提供的虚拟子网中。

如果我们需要两个容器之间可以通信，而不通过宿主机网桥进行桥接。

解决办法：创建一对 peer 接口，分别放到两个容器中，配置成点对点链路类型即可。

（1）首先启动2个容器：

[root@docker01 ~]# docker run -i -t --rm --name centos01 --net=none centos /bin/bash　　#在第一个终端启动第一个容器
​
[root@docker01 ~]# docker run -i -t --rm --name centos02 --net=none centos /bin/bash　　#在第二个终端启动第二个容器

（2）找到进程号，然后创建网络命名空间的跟踪文件（在第三个终端操作）

[root@docker01 ~]# docker inspect -f '{{.State.Pid}}' centos01　　#找到myCentos01的进程号
16614
[root@docker01 ~]# docker inspect -f '{{.State.Pid}}' centos02　　#找到myCentos02的进程号
16713
[root@docker01 ~]# mkdir -p /var/run/netns
[root@docker01 ~]# ln -s /proc/16614/ns/net /var/run/netns/16614
[root@docker01 ~]# ln -s /proc/16713/ns/net /var/run/netns/16713

（3）创建一对 peer 接口，然后配置路由（在第三个终端操作）

[root@docker01 ~]# ip link add A type veth peer name B
[root@docker01 ~]# ip link set A netns 16614
[root@docker01 ~]# ip netns exec 16614 ip addr add 10.1.1.1/32 dev A
[root@docker01 ~]# ip netns exec 16614 ip link set A up
[root@docker01 ~]# ip netns exec 16614 ip route add 10.1.1.2/32 dev A
[root@docker01 ~]# ip link set B netns 16713
[root@docker01 ~]# ip netns exec 16713 ip addr add 10.1.1.2/32 dev B
[root@docker01 ~]# ip netns exec 16713 ip link set B up
[root@docker01 ~]# ip netns exec 16713 ip route add 10.1.1.1/32 dev B

（4）测试两个容器之间的通信

[root@90709b31ef86 /]# ping 10.1.1.2　　#在myCentos01上面测试与myCentos02之间的通信
PING 10.1.1.2 (10.1.1.2) 56(84) bytes of data.
64 bytes from 10.1.1.2: icmp_seq=1 ttl=64 time=0.075 ms
​
[root@96af03d9ad15 /]# ping 10.1.1.1　　#在myCentos02上面测试与myCentos01之间的通信
PING 10.1.1.1 (10.1.1.1) 56(84) bytes of data.
64 bytes from 10.1.1.1: icmp_seq=1 ttl=64 time=0.075 ms

通过测试，这两个容器可以互相ping通，并成功建立连接。点到点链路不需要子网和子网掩码。

此外，也可以不指定 --net=none 来创建点到点链路。这样容器还可以通过原先的网络来通信。

docker跨宿主机通信

1.docker跨主机容器之间通信macvlan

默认一个物理网卡，只有一个mac地址，虚拟多个mac地址

缺点：容易网络冲突，需要手动分配ip，维护不方便。

1.创建macvlan（与宿主机公网同网段）

[root@docker01 ~]# docker network create -d macvlan --subnet 10.0.0.0/24 --gateway 10.0.0.254 -o parent=eth0 macvlan_1

[root@docker02 ~]# docker network create -d macvlan --subnet 10.0.0.0/24 --gateway 10.0.0.254 -o parent=eth0 macvlan_1

注意：设置eth0的网卡为混杂模式（ubunt版本需要设置，其他版本忽略即可）

ip link set eth1 promisc on

2.创建使用macvlan网络的容器

[root@docker01 ~]# docker run -itd --network macvlan_1 --ip 10.0.0.100 centos_nginx:v8  c64e0cf9df69e1085a8b3f360b2da78daf55ff6c5091cfb9ae7019b3c5531560

[root@docker02 ~]# docker run -itd --network macvlan_1 --ip 10.0.0.101 nginx:latest  efdd9cf8305d05d5c738cdcb516b57b95420a3a9838710fb831c77be585d9cc5

网络互通测试

[root@docker01 ~]# docker exec -it c64e0cf9df69 /bin/bash 
[root@c64e0cf9df69 html]# ping 10.0.0.101  
PING 10.0.0.101 (10.0.0.101) 56(84) bytes of data.  
64 bytes from 10.0.0.101: icmp_seq=1 ttl=64 time=0.522 ms  
64 bytes from 10.0.0.101: icmp_seq=2 ttl=64 time=0.709 ms  
64 bytes from 10.0.0.101: icmp_seq=3 ttl=64 time=0.789 ms  
64 bytes from 10.0.0.101: icmp_seq=4 ttl=64 time=0.767 ms 

[root@docker02 ~]# docker run -itd --network macvlan_1 --ip 10.0.0.101 centos:latest  fff970c4c1cf8e4bc9d44e188666e53e7c28b2528ecb1e89faa498b274ef7526  
[root@docker02 ~]# docker exec -it fff970c4c1c /bin/bash  
[root@fff970c4c1cf /]# ping 10.0.0.100  PING 10.0.0.100 (10.0.0.100) 56(84) bytes of data.  
64 bytes from 10.0.0.100: icmp_seq=1 ttl=64 time=0.419 ms  
64 bytes from 10.0.0.100: icmp_seq=2 ttl=64 time=0.871 ms  
64 bytes from 10.0.0.100: icmp_seq=3 ttl=64 time=0.773 ms  
64 bytes from 10.0.0.100: icmp_seq=4 ttl=64 time=0.819 ms

访问外网测试

[root@c64e0cf9df69 html]# ping [www.baidu.com](www.baidu.com)  
PING [www.a.shifen.com](www.a.shifen.com) (180.101.49.12) 56(84) bytes of data.  
64 bytes from 180.101.49.12 (180.101.49.12): icmp_seq=1 ttl=128 time=10.2 ms  
64 bytes from 180.101.49.12 (180.101.49.12): icmp_seq=2 ttl=128 time=32.4 ms  
64 bytes from 180.101.49.12 (180.101.49.12): icmp_seq=3 ttl=128 time=37.9 ms  

[root@fff970c4c1cf /]# ping [www.baidu.com](www.baidu.com)  
PING [www.a.shifen.com](www.a.shifen.com) (180.101.49.11) 56(84) bytes of data.  
64 bytes from 180.101.49.11 (180.101.49.11): icmp_seq=1 ttl=128 time=13.6 ms  
64 bytes from 180.101.49.11 (180.101.49.11): icmp_seq=2 ttl=128 time=13.5 ms  
64 bytes from 180.101.49.11 (180.101.49.11): icmp_seq=3 ttl=128 time=10.9 ms  
64 bytes from 180.101.49.11 (180.101.49.11): icmp_seq=4 ttl=128 time=14.4 ms  
64 bytes from 180.101.49.11 (180.101.49.11): icmp_seq=5 ttl=128 time=13.4 ms

测试访问

2.docker跨主机容器通信之overlay

overlay需要consul来保存已有的ip地址，以避免分配重复的ip地址。

二进制安装consul

wget https://releases.hashicorp.com/consul/1.4.4/consul_1.4.4_linux_amd64.zip
unzip consul_1.4.4_linux_amd64.zip
mv consul /usr/bin/
chmod +x /usr/bin/consul
nohup consul agent -server -bootstrap -ui -data-dir /var/lib/consul -client=10.0.0.11 -bind=10.0.0.11
&>/var/log/consul.log &
tail -f /var/log/consul.log

docker容器安装consul

docker run -d -p 8500:8500 -h consul --name consul progrium/consul -server -bootstrap

配置方案一

1.修改 docker01 启动文件

 [root@docker01 ~]# vim /lib/systemd/system/docker.service 
#ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock --cluster-store
consul://10.0.0.11:8500 --cluster-advertise 10.0.0.55:2376

2.重启 docker01

systemctl daemon-reload  
systemctl restart docker.service

3.同样方法修改 docker02 的配置

 [root@docker01 ~]# vim /lib/systemd/system/docker.service  
#ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock --cluster-store
consul://10.0.0.11:8500 --cluster-advertise 10.0.0.56:2376

4.重启 docker02

systemctl daemon-reload  
systemctl restart docker.service

配置方案二

在daemon.json中添加如下配置(两台服务器都需要修改，注意两台服务器的ip)

vim /etc/docker/daemon.json

{

"hosts":["tcp://0.0.0.0:2376","unix:///var/run/docker.sock"],

"cluster-store":"consul://10.0.0.55:8500", #consul数据库的ip+端口

"cluster-advertise":"10.0.0.55:2376" #宿主机ip+端口号

}

然后修改docker的启动文件

vim /lib/systemd/system/docker.service 
[Service]  
Type=notify  
#the default is not to use systemd for cgroups because the delegate issues still  
#exists and systemd currently does not support the cgroup feature set required  
#for containers run by docker  
ExecStart=/usr/bin/dockerd ExecReload=/bin/kill -s HUP $MAINPID  TimeoutSec=0  RestartSec=2  Restart=always

在 docker 主机上创建 overlay 网络(不要使用) 在 docker1 上创建网络，然后会自动同步到 docker2 上（任何一个节点创建网络都可以）

docker network create -d overlay --subnet 172.16.2.0/24 --gateway 172.16.2.254 ol1

[root@docker01 ~]# ifconfig
.......
docker_gwbridge: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500  inet 172.19.0.1 netmask 255.255.0.0 broadcast 172.19.255.255
........

分别在两个节点上创建容器

每个容器有两块网卡，eth0实现容器间的通讯，eth1实现容器访问外网

docker1  docker run -it --network ol1 --name busybox01 busybox:latest /bin/sh

/ # ifconfig eth0 Link encap:Ethernet HWaddr 02:42:AC:10:02:01  inet addr:172.16.2.1 Bcast:172.16.2.255 Mask:255.255.255.0  UP BROADCAST RUNNING MULTICAST MTU:1450 Metric:1  RX packets:14 errors:0 dropped:0 overruns:0 frame:0  TX packets:14 errors:0 dropped:0 overruns:0 carrier:0  collisions:0 txqueuelen:0 RX bytes:1260 (1.2 KiB) TX bytes:1260 (1.2 KiB)

eth1 Link encap:Ethernet HWaddr 02:42:AC:13:00:02  inet addr:172.19.0.2 Bcast:172.19.255.255 Mask:255.255.0.0  UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1  RX packets:8 errors:0 dropped:0 overruns:0 frame:0  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0  collisions:0 txqueuelen:0 RX bytes:656 (656.0 B) TX bytes:0 (0.0 B)

docker2  docker run -it --network ol1 --name busybox02 busybox:latest /bin/sh

网络

/ # ifconfig eth0 Link encap:Ethernet HWaddr 02:42:AC:10:02:02  inet addr:172.16.2.2 Bcast:172.16.2.255 Mask:255.255.255.0  UP BROADCAST RUNNING MULTICAST MTU:1450 Metric:1  RX packets:14 errors:0 dropped:0 overruns:0 frame:0  TX packets:14 errors:0 dropped:0 overruns:0 carrier:0  collisions:0 txqueuelen:0 RX bytes:1260 (1.2 KiB) TX bytes:1260 (1.2 KiB)

eth1 Link encap:Ethernet HWaddr 02:42:AC:13:00:02  inet addr:172.19.0.2 Bcast:172.19.255.255 Mask:255.255.0.0  UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1  RX packets:14 errors:0 dropped:0 overruns:0 frame:0  TX packets:0 errors:0 dropped:0 overruns:0 carrier:0  collisions:0 txqueuelen:0 RX bytes:1132 (1.1 KiB) TX bytes:0 (0.0 B)

互通测试

[root@docker01 ~]# docker run -it --network ol1 --name busybox01 busybox:latest /bin/sh  / # ping busybox02  
PING busybox02 (172.16.2.2): 56 data bytes  
64 bytes from 172.16.2.2: seq=0 ttl=64 time=0.437 ms  
64 bytes from 172.16.2.2: seq=1 ttl=64 time=0.473 ms  
64 bytes from 172.16.2.2: seq=2 ttl=64 time=0.996 ms  
64 bytes from 172.16.2.2: seq=3 ttl=64 time=1.379 ms

[root@docker02 ~]# docker run -it --network ol1 --name busybox02 busybox:latest /bin/sh  Unable to find image 'busybox:latest' locally  latest: Pulling from library/busybox  bdbbaa22dec6: Pull complete Digest: sha256:6915be4043561d64e0ab0f8f098dc2ac48e077fe23f488ac24b665166898115a  Status: Downloaded newer image for busybox:latest  / # ping busybox01  
PING busybox01 (172.16.2.1): 56 data bytes  
64 bytes from 172.16.2.1: seq=0 ttl=64 time=0.434 ms  
64 bytes from 172.16.2.1: seq=1 ttl=64 time=0.477 ms  
64 bytes from 172.16.2.1: seq=2 ttl=64 time=1.073 ms  
64 bytes from 172.16.2.1: seq=3 ttl=64 time=1.030 ms

说明：可以通过主机名进行测试的原因是内部作了DNS劫持，实现了内部的域名解析。

测试访问外网

/ # ping [www.baidu.com](www.baidu.com) 
 PING [www.baidu.com](www.baidu.com) (180.101.49.11): 56 data 
bytes  
64 bytes from 180.101.49.11: seq=0 ttl=127 time=10.639 ms  
64 bytes from 180.101.49.11: seq=1 ttl=127 time=20.531 ms

远程操作
docker c/s架构远程连接操作，这里就可以实现，这就是配置文件内的配置的2376端口等的作用。

[root@docker01 ~]# docker -H 10.0.0.56:2376 ps -l -a

外部局域网访问（通过端口映射才能实现）

[root@docker01 ~]# docker run --network ol1 -itd -p 80:80 centos_nginx:v8

Chain DOCKER (2 references)  target prot opt source destination RETURN all -- 0.0.0.0/0 0.0.0.0/0 RETURN all -- 0.0.0.0/0 0.0.0.0/0 RETURN all -- 0.0.0.0/0 0.0.0.0/0 DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 to:172.19.0.3:80

测试访问


docker使用overlay网络模式集群网络原理图

最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
禁止转载，如需转载请通过简信或评论联系作者。
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 211,376评论 6赞 491
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 90,126评论 2赞 385
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 156,966评论 0赞 347
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 56,432评论 1赞 283
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 65,519评论 6赞 385
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 49,792评论 1赞 290
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 38,933评论 3赞 406
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 37,701评论 0赞 266
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 44,143评论 1赞 303
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,488评论 2赞 327
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 38,626评论 1赞 340
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 34,292评论 4赞 329
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 39,896评论 3赞 313
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 30,742评论 0赞 21
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,977评论 1赞 265
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 46,324评论 2赞 360
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 43,494评论 2赞 348

推荐阅读更多精彩内容

  • Docker-Linux-02
    五、Docker 端口映射 无论如何，这些 ip 是基于本地系统的并且容器的端口非本地主机是访问不到的。此外，除了...
    R_X阅读 1,740评论 0赞 7
  • Docker网络模型
    概述 自从docker容器出现以来，容器的网络通信就一直是大家关注的焦点，也是生产环境的迫切需求。而容器的网络通信...
    糙老爷们儿吃什么樱桃阅读 3,615评论 1赞 5
  • 04_docker网络配置之独立IP
    网络配置   Dokcer 通过使用Linux桥接提供容器之间的通信，docker0桥接接口的目的就是方便Dock...
    对方不想理你并向你抛出一个异常阅读 4,784评论 0赞 1
  • Docker网络
    docker0网桥当在一台未经过特殊网络配置的centos 或 ubuntu机器上安装完docker之后，在宿主机...
    沉沦2014阅读 1,394评论 0赞 0
  • 写给云的一封信
    云这个名字真的很好，见云思友，信写给你也像写给天空，更像是随笔写给自己，平添了几分意趣。 见字安好 今天随意看了几...
    月抚裳阅读 822评论 0赞 2