容器在 Weave 中如何通信和隔離？- 每天5分鐘玩轉 Docker 容器技術（65）

上一節我們分析了 Weave 的網絡結構，今天讨論 Weave 的連通和隔離特性。

首先在host2 執行如下指令：

weave launch 192.168.56.104

這裡必須指定 host1 的 IP <code>192.168.56.104</code>，這樣 host1 和 host2 才能加入到同一個 weave 網絡。

運作容器 bbox3：

eval $(weave env)

docker run --name bbox3 -itd busybox

bbox3 能夠直接 ping bbox1 和 bbox2。

bbox1、bbox2 和 bbox3 的 IP 分别為 10.32.0.1/12、10.32.0.2/12 和 10.44.0.0/12，注意掩碼為 12 位，實際上這三個 IP 位于同一個 subnet 10.32.0.0/12。通過 host1 和 host2 之間的 VxLAN 隧道，三個容器邏輯上是在同一個 LAN 中的，當然能直接通信了。bbox3 ping bbox1 的資料流向如下圖所示：

① 資料包目的位址為 10.32.0.1，根據 bbox3 的路由表，資料從 ethwe 發送出去。

② host2 weave 查詢到目的地主機，将資料通過 VxLAN 發送給 host1。

③ host1 weave 接受到資料，根據目的 IP 将資料轉發給 bbox1。

預設配置下，weave 使用一個大 subnet（例如 10.32.0.0/12），所有主機的容器都從這個位址空間中配置設定 IP，因為同屬一個 subnet，容器可以直接通信。如果要實作網絡隔離，可以通過環境變量 <code>WEAVE_CIDR</code> 為容器配置設定不同 subnet 的 IP，舉例如下：

這裡 <code>WEAVE_CIDR=net:10.32.2.0/24</code> 的作用是使容器配置設定到 IP <code>10.32.2.2</code>。由于 10.32.0.0/12 與 10.32.2.0/24 位于不同的 subnet，是以無法 ping 到 bbox1。除了 subnet，我們還可以直接為容器配置設定特定的 IP：

Weave 網絡中的連通特性就讨論到這裡，下一節我們讨論 Weave 與外網的連通性。

本文轉自CloudMan6 51CTO部落格，原文連結:http://blog.51cto.com/cloudman/1963571