公衆号回複：幹貨，領取價值58元/套IT管理體系文檔
公衆号回複：ITIL教材，領取最新ITIL4中文教材
正文
使用容器總是感覺像使用魔法一樣。對于那些了解底層原理的人來說容器很好用，但是對于不了解的人來說就是個噩夢。很幸運的是，我們已經研究容器技術很久了，甚至成功揭秘容器隻是隔離并受限的Linux程序，運作容器并不需要鏡像，以及另一個方面，建構鏡像需要運作一些容器。
現在是時候解決容器網絡問題了。或者更準确地說，單主機容器網絡問題。本文會回答這些問題：
- 如何虛拟化網絡資源，讓容器認為自己擁有獨占網絡？
- 如何讓容器們和平共處，之間不會互相幹擾，并且能夠互相通信？
- 從容器内部如何通路外部世界（比如，網際網路）？
- 從外部世界如何通路某台機器上的容器呢（比如，端口釋出）？
最終結果很明顯，單主機容器網絡是已知的Linux功能的簡單組合：
- 網絡命名空間（namespace）
- 虛拟Ethernet裝置（veth）
- 虛拟網絡交換機（網橋）
- IP路由和網絡位址翻譯（NAT）
并且不需要任何代碼就可以讓這樣的網絡魔法發生……
前提條件
任意Linux發行版都可以。本文的所有例子都是在vagrant CentOS 8的虛拟機上執行的：
$ vagrant init centos/8
$ vagrant up
$ vagrant ssh
[[email protected] ~]$ uname -a
Linux localhost.localdomain 4.18.0-147.3.1.el8_1.x86_64
為了簡單起見，本文使用容器化解決方案（比如，Docker或者Podman）。我們會重點介紹基本概念，并使用最簡單的工具來達到學習目标。
network命名空間隔離容器
Linux網絡棧包括哪些部分？顯然，是一系列網絡裝置。還有别的嗎？可能還包括一系列的路由規則。并且不要忘記，netfilter hook，包括由iptables規則定義的。
我們可以快速建立一個并不複雜的腳本inspect-net-stack.sh：
#!/usr/bin/env bash
echo "> Network devices"
ip link
echo -e "\n> Route table"
ip route
echo -e "\n> Iptables rules"
iptables --list-rules
在運作腳本前，讓我們修改下iptable rule：
$ sudo iptables -N ROOT_NS
這之後，在機器上執行上面的腳本，輸出如下：
$ sudo ./inspect-net-stack.sh
> Network devices
1: lo:mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0:mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000 link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff
> Route table
default via 10.0.2.2 dev eth0 proto dhcp metric 100
10.0.2.0/24 dev eth0 proto kernel scope link src 10.0.2.15 metric 100
> Iptables rules
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N ROOT_NS
我們對這些輸出感興趣，因為要確定即将建立的每個容器都有各自獨立的網絡棧。
你可能已經知道了，用于容器隔離的一個Linux命名空間是網絡命名空間（network namespace）。從man ip-netns可以看到，“網絡命名空間是網絡棧邏輯上的另一個副本，它有自己的路由，防火牆規則和網絡裝置。”為了簡化起見，這是本文使用的唯一的命名空間。我們并沒有建立完全隔離的容器，而是将範圍限制在網絡棧上。
建立網絡命名空間的一種方法是ip工具——是iproute2的一部分：
$ sudo ip netns add netns0
$ ip netns
netns0
如何使用剛才建立的命名空間呢？一個很好用的指令nsenter。進入一個或多個特定的命名空間，然後執行指定的腳本：
$ sudo nsenter --net=/var/run/netns/netns0 bash
# 建立的bash程序在netns0裡
$ sudo ./inspect-net-stack.sh
> Network devices 1: lo: mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
> Route table
> Iptables rules
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
從上面的輸出可以清楚地看到bash程序運作在netns0命名空間，這時看到的是完全不同的網絡棧。這裡沒有路由規則，沒有自定義的iptables chain，隻有一個loopback的網絡裝置。
使用虛拟的Ethernet裝置（veth）将容器連接配接到主機上
如果我們無法和某個專有的網絡棧通信，那麼它看上去就沒什麼用。幸運的是，Linux提供了好用的工具——虛拟Ethernet裝置。從man veth可以看到，“veth裝置是虛拟Ethernet裝置。他們可以作為網絡命名空間之間的通道（tunnel），進而建立連接配接到另一個命名空間裡的實體網絡裝置的橋梁，但是也可以作為獨立的網絡裝置使用。”
虛拟Ethernet裝置通常都成對出現。不用擔心，先看一下建立的腳本：
$ sudo ip link add veth0 type veth peer name ceth0
用這條簡單的指令，我們就可以建立一對互聯的虛拟Ethernet裝置。預設選擇了veth0和ceth0這兩個名稱。
$ ip link
1: lo:mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0:mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff
5: [email protected]:mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether 66:2d:24:e3:49:3f brd ff:ff:ff:ff:ff:ff
6: [email protected]:mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether 96:e8:de:1d:22:e0 brd ff:ff:ff:ff:ff:ff
建立的veth0和ceth0都在主機的網絡棧（也稱為root網絡命名空間）上。将netns0命名空間連接配接到root命名空間，需要将一個裝置留在root命名空間，另一個挪到netns0裡：
$ sudo ip link set ceth0 netns netns0
# 列出所有裝置，可以看到ceth0已經從root棧裡消失了
$ ip link 1: lo:mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0:mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff
6: [email protected]:mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether 96:e8:de:1d:22:e0 brd ff:ff:ff:ff:ff:ff link-netns netns0
一旦啟用裝置并且配置設定了合适的IP位址，其中一個裝置上産生的包會立刻出現在其配對裝置裡，進而連接配接起兩個命名空間。從root命名空間開始：
$ sudo ip link set veth0 up
$ sudo ip addr add 172.18.0.11/16 dev veth0
然後是netns0：
$ sudo nsenter --net=/var/run/netns/netns0
$ ip link set lo up
$ ip link set ceth0 up
$ ip addr add 172.18.0.10/16 dev ceth0
$ ip link
1: lo:mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
5: [email protected]:mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
link/ether 66:2d:24:e3:49:3f brd ff:ff:ff:ff:ff:ff link-netnsid 0
檢查連通性：
# 在netns0裡ping root的 veth0
$ ping -c 2 172.18.0.11
PING 172.18.0.11 (172.18.0.11) 56(84) bytes of data.
64 bytes from 172.18.0.11: icmp_seq=1 ttl=64 time=0.038 ms
64 bytes from 172.18.0.11: icmp_seq=2 ttl=64 time=0.040 ms
--- 172.18.0.11 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 58ms
rtt min/avg/max/mdev = 0.038/0.039/0.040/0.001 ms
# 離開 netns0
$ exit
# 在root命名空間裡ping ceth0
$ ping -c 2 172.18.0.10
PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.
64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.073 ms
64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.046 ms
--- 172.18.0.10 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 3ms
rtt min/avg/max/mdev = 0.046/0.059/0.073/0.015 ms
同時，如果嘗試從netns0命名空間通路其他位址，也同樣可以成功：
# 在 root 命名空間
$ ip addr show dev eth0
2: eth0:mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff
inet 10.0.2.15/24 brd 10.0.2.255 scope global dynamic noprefixroute eth0
valid_lft 84057sec preferred_lft 84057sec
inet6 fe80::5054:ff:fee3:2777/64 scope link
valid_lft forever preferred_lft forever
# 記住這裡IP是10.0.2.15
$ sudo nsenter --net=/var/run/netns/netns0
# 嘗試ping主機的eth0
$ ping 10.0.2.15
connect: Network is unreachable
# 嘗試連接配接外網
$ ping 8.8.8.8
connect: Network is unreachable
這也很好了解。在netns0路由表裡沒有這類包的路由。唯一的entry是如何到達172.18.0.0/16網絡：
# 在netns0命名空間:
$ ip route
172.18.0.0/16 dev ceth0 proto kernel scope link src 172.18.0.10
Linux有好幾種方式建立路由表。其中一種是直接從網絡接口上提取路由。記住，命名空間建立後， netns0裡的路由表是空的。但是随後我們添加了ceth0裝置并且配置設定了IP位址172.18.0.0/16。因為我們使用的不是簡單的IP位址，而是位址和子網路遮罩的組合，網絡棧可以從其中提取出路由資訊。目的地是172.18.0.0/16的每個網絡包都會通過ceth0裝置。但是其他包會被丢棄。類似的，root命名空間也有了個新的路由：
# 在root命名空間:
$ ip route
# ... 忽略無關行 ...
172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11
這裡，就可以回答第一個問題了。我們了解了如何隔離，虛拟化并且連接配接Linux網絡棧。
使用虛拟網絡switch（網橋）連接配接容器
容器化思想的驅動力是高效的資源共享。是以，一台機器上隻運作一個容器并不常見。相反，最終目标是盡可能地在共享的環境上運作更多的隔離程序。是以，如果按照上述veth方案，在同一台主機上放置多個容器的話會發生什麼呢？讓我們嘗試添加第二個容器。
# 從 root 命名空間
$ sudo ip netns add netns1
$ sudo ip link add veth1 type veth peer name ceth1
$ sudo ip link set ceth1 netns netns1
$ sudo ip link set veth1 up
$ sudo ip addr add 172.18.0.21/16 dev veth1
$ sudo nsenter --net=/var/run/netns/netns1
$ ip link set lo up
$ ip link set ceth1 up
$ ip addr add 172.18.0.20/16 dev ceth1
檢查連通性：
# 從netns1無法連通root 命名空間!
$ ping -c 2 172.18.0.21
PING 172.18.0.21 (172.18.0.21) 56(84) bytes of data.
From 172.18.0.20 icmp_seq=1 Destination Host Unreachable
From 172.18.0.20 icmp_seq=2 Destination Host Unreachable
--- 172.18.0.21 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 55ms pipe 2
# 但是路由是存在的!
$ ip route
172.18.0.0/16 dev ceth1 proto kernel scope link src 172.18.0.20
# 離開 `netns1`
$ exit
# 從 root 命名空間無法連通`netns1`
$ ping -c 2 172.18.0.20
PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.
From 172.18.0.11 icmp_seq=1 Destination Host Unreachable
From 172.18.0.11 icmp_seq=2 Destination Host Unreachable
--- 172.18.0.20 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 23ms pipe 2
# 從netns0可以連通`veth1`
$ sudo nsenter --net=/var/run/netns/netns0
$ ping -c 2 172.18.0.21
PING 172.18.0.21 (172.18.0.21) 56(84) bytes of data.
64 bytes from 172.18.0.21: icmp_seq=1 ttl=64 time=0.037 ms
64 bytes from 172.18.0.21: icmp_seq=2 ttl=64 time=0.046 ms
--- 172.18.0.21 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 33ms
rtt min/avg/max/mdev = 0.037/0.041/0.046/0.007 ms
# 但是仍然無法連通netns1
$ ping -c 2 172.18.0.20
PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.
From 172.18.0.10 icmp_seq=1 Destination Host Unreachable
From 172.18.0.10 icmp_seq=2 Destination Host Unreachable
--- 172.18.0.20 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 63ms pipe 2
暈！有地方出錯了……netns1有問題。它無法連接配接到root，并且從root命名空間裡也無法通路到它。但是，因為兩個容器都在相同的IP網段172.18.0.0/16裡，從netns0容器可以通路到主機的veth1。
這裡花了些時間來找到原因，不過很明顯遇到的是路由問題。先查一下root命名空間的路由表：
$ ip route
# ... 忽略無關行... #
172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11
172.18.0.0/16 dev veth1 proto kernel scope link src 172.18.0.21
在添加了第二個veth對之後，root的網絡棧知道了新路由172.18.0.0/16 dev veth1 proto kernel scope link src 172.18.0.21，但是之前已經存在該網絡的路由了。當第二個容器嘗試ping veth1時，選中的是第一個路由規則，這導緻網絡無法連通。如果我們删除第一個路由sudo ip route delete 172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11，然後重新檢查連通性，應該就沒有問題了。netns1可以連通，但是netns0就不行了。
如果我們為netns1選擇其他的網段，應該就都可以連通。但是，多個容器在同一個IP網段上應該是合理的使用場景。是以，我們需要調整veth方案。
别忘了還有Linux網橋——另一種虛拟化網絡技術！Linux網橋作用類似于網絡switch。它會在連接配接到其上的接口間轉發網絡包。并且因為它是switch，它是在L2層完成這些轉發的。
試試這個工具。但是首先，需要清除已有設定，因為之前的一些配置現在不再需要了。删除網絡命名空間：
$ sudo ip netns delete netns0
$ sudo ip netns delete netns1
$ sudo ip link delete veth0
$ sudo ip link delete ceth0
$ sudo ip link delete veth1
$ sudo ip link delete ceth1
快速重建兩個容器。注意，我們沒有給新的veth0和veth1裝置配置設定任何IP位址：
$ sudo ip netns add netns0
$ sudo ip link add veth0 type veth peer name ceth0
$ sudo ip link set veth0 up
$ sudo ip link set ceth0 netns netns0
$ sudo nsenter --net=/var/run/netns/netns0
$ ip link set lo up
$ ip link set ceth0 up
$ ip addr add 172.18.0.10/16 dev ceth0
$ exit
$ sudo ip netns add netns1
$ sudo ip link add veth1 type veth peer name ceth1
$ sudo ip link set veth1 up
$ sudo ip link set ceth1 netns netns1
$ sudo nsenter --net=/var/run/netns/netns1
$ ip link set lo up
$ ip link set ceth1 up
$ ip addr add 172.18.0.20/16 dev ceth1
$ exit
確定主機上沒有新的路由：
$ ip route
default via 10.0.2.2 dev eth0 proto dhcp metric 100
10.0.2.0/24 dev eth0 proto kernel scope link src 10.0.2.15 metric 100
最後建立網橋接口：
$ sudo ip link add br0 type bridge
$ sudo ip link set br0 up
将veth0和veth1接到網橋上：
$ sudo ip link set veth0 master br0
$ sudo ip link set veth1 master br0
檢查容器間的連通性：
$ sudo nsenter --net=/var/run/netns/netns0
$ ping -c 2 172.18.0.20
PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.
64 bytes from 172.18.0.20: icmp_seq=1 ttl=64 time=0.259 ms
64 bytes from 172.18.0.20: icmp_seq=2 ttl=64 time=0.051 ms
--- 172.18.0.20 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 2ms
rtt min/avg/max/mdev = 0.051/0.155/0.259/0.104 ms
$ sudo nsenter --net=/var/run/netns/netns1
$ ping -c 2 172.18.0.10
PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.
64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.037 ms
64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.089 ms
--- 172.18.0.10 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 36ms
rtt min/avg/max/mdev = 0.037/0.063/0.089/0.026 ms
太好了！工作得很好。用這種新方案，我們根本不需要配置veth0和veth1。隻需要在ceth0和ceth1端點配置設定兩個IP位址。但是因為它們都連接配接在相同的Ethernet上（記住，它們連接配接到虛拟switch上），之間在L2層是連通的：
$ sudo nsenter --net=/var/run/netns/netns0
$ ip neigh
172.18.0.20 dev ceth0 lladdr 6e:9c:ae:02:60:de STALE
$ exit
$ sudo nsenter --net=/var/run/netns/netns1
$ ip neigh
172.18.0.10 dev ceth1 lladdr 66:f3:8c:75:09:29 STALE
$ exit
太好了，我們學習了如何将容器變成友鄰，讓它們互不幹擾，但是又可以連通。
連接配接外部世界（IP路由和位址僞裝（masquerading））
容器間可以通信。但是它們能和主機，比如root命名空間，通信嗎？
$ sudo nsenter --net=/var/run/netns/netns0
$ ping 10.0.2.15 # eth0 address
connect: Network is unreachable
這裡很明顯，netns0沒有路由：
$ ip route
172.18.0.0/16 dev ceth0 proto kernel scope link src 172.18.0.10
root命名空間不能和容器通信：
# 首先使用 exit 離開netns0:
$ ping -c 2 172.18.0.10
PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.
From 213.51.1.123 icmp_seq=1 Destination Net Unreachable
From 213.51.1.123 icmp_seq=2 Destination Net Unreachable
--- 172.18.0.10 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 3ms
$ ping -c 2 172.18.0.20
PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.
From 213.51.1.123 icmp_seq=1 Destination Net Unreachable
From 213.51.1.123 icmp_seq=2 Destination Net Unreachable
--- 172.18.0.20 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 3ms
要建立root和容器命名空間的連通性，我們需要給網橋網絡接口配置設定IP位址：
$ sudo ip addr add 172.18.0.1/16 dev br0
一旦給網橋網絡接口配置設定了IP位址，在主機的路由表裡就會多一條路由：
$ ip route
# ...忽略無關行 ...
172.18.0.0/16 dev br0 proto kernel scope link src 172.18.0.1
$ ping -c 2 172.18.0.10
PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.
64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.036 ms
64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.049 ms
--- 172.18.0.10 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 11ms
rtt min/avg/max/mdev = 0.036/0.042/0.049/0.009 ms
$ ping -c 2 172.18.0.20
PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.
64 bytes from 172.18.0.20: icmp_seq=1 ttl=64 time=0.059 ms
64 bytes from 172.18.0.20: icmp_seq=2 ttl=64 time=0.056 ms
--- 172.18.0.20 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 4ms
rtt min/avg/max/mdev = 0.056/0.057/0.059/0.007 ms
容器可能也可以ping網橋接口，但是它們還是無法連接配接到主機的eth0。需要為容器添加預設的路由：
$ sudo nsenter --net=/var/run/netns/netns0
$ ip route add default via 172.18.0.1
$ ping -c 2 10.0.2.15
PING 10.0.2.15 (10.0.2.15) 56(84) bytes of data.
64 bytes from 10.0.2.15: icmp_seq=1 ttl=64 time=0.036 ms
64 bytes from 10.0.2.15: icmp_seq=2 ttl=64 time=0.053 ms
--- 10.0.2.15 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 14ms
rtt min/avg/max/mdev = 0.036/0.044/0.053/0.010 ms
# 為`netns1`也做上述配置
這個改動基本上把主機變成了路由，并且網橋接口變成了容器間的預設網關。
很好，我們将容器連接配接到root命名空間上。現在，繼續嘗試将它們連接配接到外部世界。Linux上預設disable了網絡包轉發（比如，路由功能）。我們需要先啟用這個功能：
# 在 root 命名空間
sudo bash -c 'echo 1 > /proc/sys/net/ipv4/ip_forward'
再次檢查連通性：
$ sudo nsenter --net=/var/run/netns/netns0
$ ping 8.8.8.8
# hung住了...
還是不工作。哪裡弄錯了呢？如果容器可以向外部發包，那麼目标伺服器無法将包發回容器，因為容器的IP位址是私有的，那個特定IP的路由規則隻有本地網絡知道。并且有很多容器共享的是完全相同的私有IP位址172.18.0.10。這個問題的解決方法稱為網絡位址翻譯（NAT）。在到達外部網絡之前，容器發出的包會将源IP位址替換為主機的外部網絡位址。主機還會跟蹤所有已有的映射，會在将包轉發回容器之前恢複之前被替換的IP位址。聽上去很複雜，但是有一個好消息！iptables子產品讓我們隻需要一條指令就可以完成這一切：
$ sudo iptables -t nat -A POSTROUTING -s 172.18.0.0/16 ! -o br0 -j MASQUERADE
指令非常簡單。在nat表裡添加了一條POSTROUTING chain的新路由，會替換僞裝所有源于172.18.0.0/16網絡的包，但是不通過網橋接口。
檢查連通性：
$ sudo nsenter --net=/var/run/netns/netns0
$ ping -c 2 8.8.8.8 PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=61 time=43.2 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=61 time=36.8 ms
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 2ms
rtt min/avg/max/mdev = 36.815/40.008/43.202/3.199 ms
要知道這裡我們用的預設政策——允許所有流量，這在真實的環境裡是非常危險的。主機的預設iptables政策是ACCEPT：
sudo iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
Docker預設限制所有流量，随後僅僅為已知的路徑啟用路由。
如下是在CentOS 8機器上，單個容器暴露了端口5005時，由Docker daemon生成的規則：
$ sudo iptables -t filter --list-rules
-P INPUT ACCEPT
-P FORWARD DROP
-P OUTPUT ACCEPT
-N DOCKER
-N DOCKER-ISOLATION-STAGE-1
-N DOCKER-ISOLATION-STAGE-2
-N DOCKER-USER
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 5000 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
$ sudo iptables -t nat --list-rules
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P POSTROUTING ACCEPT
-P OUTPUT ACCEPT
-N DOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.2/32 -d 172.17.0.2/32 -p tcp -m tcp --dport 5000 -j MASQUERADE
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A DOCKER -i docker0 -j RETURN
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 5005 -j DNAT --to-destination 172.17.0.2:5000
$ sudo iptables -t mangle --list-rules
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
$ sudo iptables -t raw --list-rules
-P PREROUTING ACCEPT
-P OUTPUT ACCEPT
讓外部世界可以通路容器（端口釋出）
大家都知道可以将容器端口釋出給一些（或者所有）主機的接口。但是端口釋出到底是什麼意思呢？
假設容器内運作着伺服器：
$ sudo nsenter --net=/var/run/netns/netns0
$ python3 -m http.server --bind 172.18.0.10 5000
如果我們試着從主機上發送一個HTTP請求到這個伺服器，一切都工作得很好（root命名空間和所有容器接口之間有連結，當然可以連接配接成功）：
# 從 root 命名空間
$ curl 172.18.0.10:5000
# ... 忽略無關行 ...
但是，如果要從外部通路這個伺服器，應該使用哪個IP呢？我們知道的唯一IP是主機的外部接口位址eth0：
$ curl 10.0.2.15:5000
curl: (7) Failed to connect to 10.0.2.15 port 5000: Connection refused
了解Docker網絡驅動
我們可以怎麼使用這些知識呢？比如，可以試着了解Docker網絡模式[1]。
從—network host模式開始。試着比較一下指令ip link和sudo docker run -it —rm —network host alpine ip link的輸出。它們幾乎一樣！在host模式下，Docker簡單地沒有使用網絡命名空間隔離，容器就在root網絡命名空間裡工作，并且和主機共享網絡棧。
下一個模式是—network none。sudo docker run -it —rm —network host alpine ip link的輸出隻有一個loopback網絡接口。這和之前建立的網絡命名空間，沒有添加veth裝置前很相似。
最後是—network bridge（預設）模式。這正是我們前文嘗試建立的模式。大家可以試試ip 和iptables指令，分别從主機和容器的角度觀察一下網絡棧。
rootless容器和網絡
Podman容器管理器的一個很好的特性是關注于rootless容器。但是，你可能注意到，本文使用了很多sudo指令。說明，沒有root權限無法配置網絡。Podman在root網絡上的方案[2]和Docker非常相似。但是在rootless容器上，Podman使用了slirp4netns[3]項目：
從Linux 3.8開始，非特權使用者可以建立user_namespaces(7)的同時建立network_namespaces(7)。但是，非特權網絡命名空間并不是很有用，因為在主機和網絡命名空間之間建立veth(4)仍然需要root權限
slirp4netns可以用完全非特權的方式将網絡命名空間連接配接到Internet上，通過網絡命名空間裡的一個TAP裝置連接配接到使用者态的TCP/IP棧（slirp）。
rootless網絡是很有限的：“從技術上說，容器本身沒有IP位址，因為沒有root權限，無法實作網絡裝置的關聯。另外，從rootless容器ping是不會工作的，因為它缺少CAP_NET_RAW安全能力，而這是ping指令必需的。”但是它仍然比完全沒有連接配接要好。
結論
本文介紹的組織容器網絡的方案僅僅是可能方案的一種（可能是最為廣泛使用的一種）。還有很多别的方式，由官方或者第三方插件實作，但是所有這些方案都嚴重依賴于Linux網絡虛拟化技術[4]。是以，容器化可以認為是一種虛拟化技術。
專業IT架構技術幹貨請關注下方公衆号：IT架構師聯盟
文檔下載下傳可掃碼加入下方社群：
福利
圈子建構、學習資料擷取1000+份【ITIL/數字化轉型/IT管理各類文檔解決方案報告】，歡迎加入知識星球（掃下方二維碼）~~~
相關連結：
https://docs.docker.com/network/#network-drivers
https://www.redhat.com/sysadmin/container-networking-podman
https://github.com/rootless-containers/slirp4netns
https://developers.redhat.com/blog/2018/10/22/introduction-to-linux-interfaces-for-virtual-networking/
原文連結：https://iximiuz.com/en/posts/container-networking-is-simple/
文章轉載： 分布式實驗室
（版權歸原作者所有，侵删）
更多推薦
IT管理對資訊化建設的重要性
華為項目管理金種子教育訓練教材(資料下載下傳)
IT服務管理标準化解決方案實踐
IT管理人才必備的十大能力
IT部門管理方案
免責聲明：
本公衆号部分分享的資料來自網絡收集和整理，所有文字和圖檔版權歸屬于原作者所有，且僅代表作者個人觀點，與ITIL之家無關，文章僅供讀者學習交流使用，并請自行核實相關内容，如文章内容涉及侵權，請聯系背景管理者删除。