Docker 容器网络访问原理，SNAT和DNAT
docker使用教程相关系列 目录
目录
容器网络访问原理图
网络访问的过程图
DOCKER SNAT与DNAT
容器访问外部实现
外部访问容器实现
容器网络访问原理图
首先我们会有这个 宿主机命名空间 eth0（我们的公网 IP或内网 IP），然后 我们的容器 container 通过 veth 虚拟设备队（他的作用 就相当于管道，这头进 另一头出），来分配的 容器的网络命名空间。
我们查看一下：
[root@izbp1izjo7pl5ccghnbdiuz ~]# ifconfig
br-642af1c223ad: flags=4099<UP,BROADCAST,MULTICAST> mtu 1500inet 172.18.0.1 netmask 255.255.0.0 broadcast 172.18.255.255ether 02:42:32:2e:f0:0a txqueuelen 0 (Ethernet)RX packets 37 bytes 7182 (7.0 KiB)RX errors 0 dropped 0 overruns 0 frame 0TX packets 50 bytes 5440 (5.3 KiB)TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500inet 172.17.0.1 netmask 255.255.0.0 broadcast 172.17.255.255ether 02:42:c4:5e:de:d7 txqueuelen 0 (Ethernet)RX packets 39854 bytes 2365296 (2.2 MiB)RX errors 0 dropped 0 overruns 0 frame 0TX packets 40372 bytes 106483120 (101.5 MiB)TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500inet 172.16.57.19 netmask 255.255.240.0 broadcast 172.16.63.255ether 00:16:3e:0b:5c:f3 txqueuelen 1000 (Ethernet)RX packets 24245898 bytes 4480538360 (4.1 GiB)RX errors 0 dropped 0 overruns 0 frame 0TX packets 24834168 bytes 4928454620 (4.5 GiB)TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536inet 127.0.0.1 netmask 255.0.0.0loop txqueuelen 1000 (Local Loopback)RX packets 2262 bytes 287264 (280.5 KiB)RX errors 0 dropped 0 overruns 0 frame 0TX packets 2262 bytes 287264 (280.5 KiB)TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0# 在这里
----------------------------------------------------------------------
veth58e889a: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500 |ether 56:70:7f:96:bd:42 txqueuelen 0 (Ethernet) |RX packets 37 bytes 7182 (7.0 KiB) |RX errors 0 dropped 0 overruns 0 frame 0 |TX packets 50 bytes 5440 (5.3 KiB) |TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 |
----------------------------------------------------------------------
有了 veth就保证了 容器能够和宿主机进行通信。
网络访问的过程图
解析从 容器到外界：
进入到容器的伪终端，然后 ping百度
此时 docker exec -it busybox bash 进入到容器操作也是可以的
[root@izbp1izjo7pl5ccghnbdiuz ~]# docker run -it busybox
/ # / # ping www.baidu.com
PING www.baidu.com (180.101.49.12): 56 data bytes
64 bytes from 180.101.49.12: seq=0 ttl=49 time=10.944 ms
64 bytes from 180.101.49.12: seq=1 ttl=49 time=11.067 ms
容器将请求发送到宿主机的过程
容器内： route是路由表的意思
首先由容器内部的 eth0（也就是veth1），发送给容器的网关 route里的 eth0（也就是宿主机的网卡 veth0）
容器外：
自定义网络的话，就会创建 一个linux网桥（br-5c710e739634），172.18.0.1 就是网关 。这个br-5c710e739634 整体就是宿主机的一个虚拟网卡。
接收 ↑发送过来的数据。
刚才说到了：route里的 eth0（也就是宿主机的网卡 veth0），那么在 宿主机上是如何展示 的容器的连接通道 eth0（veth0）。
cethc788816就是了
我们的路由表，可以看到 刚才介绍并使用的 网桥（br-5c710e739634）。
但是内 我们ping百度的时候，宿主机发现 我们的目标地址是外部地址，本机处理不了。所以要走外部 默认网关 ens33
外界到容器：
这个就很OK了，看操作图 都能理解个大概。
iptables -vnL # 格式太乱iptables-save
docker 的网络主要是利用了 iptables 来进行实现的
我们看合格 99端口啊，大概意思就是 外部访问宿主机IP 的请求，通过DNAT 将目的地转换到我们的 容器网关接口。
这个呢 就是识别我们的容器端口，找到对应的 veth1
具体的流程就是，把最上面的调换过来，没啥说的。
DOCKER SNAT与DNAT
映射容器端口到宿主主机的实现
默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器。
容器访问外部实现
容器所有到外部网络的连接，源地址都会被 NAT 成本地系统的 IP 地址。这是使用 iptables 的源地址伪装操作实现的。
查看主机的 NAT 规则。
$ sudo iptables -t nat -nL
...
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- 172.17.0.0/16 !172.17.0.0/16
...
其中，上述规则将所有源地址在 172.17.0.0/16 网段，目标地址为其他网段（外部网络）的流量动态伪装为从系统网卡发出。MASQUERADE 跟传统 SNAT 的好处是它能动态从网卡获取地址。
外部访问容器实现
容器允许外部访问，可以在 docker run 时候通过 -p 或 -P 参数来启用。
不管用那种办法，其实也是在本地的 iptable 的 nat 表中添加相应的规则。
使用 -P 时：
$ iptables -t nat -nL
...
Chain DOCKER (2 references)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:49153 to:172.17.0.2:80使用 -p 80:80 时：
$ iptables -t nat -nL
Chain DOCKER (2 references)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 to:172.17.0.2:80注意：
这里的规则映射了 0.0.0.0，意味着将接受主机来自所有接口的流量。用户可以通过 -p IP:host_port:container_port 或 -p IP::port 来指定允许访问容器的主机上的 IP、接口等，以制定更严格的规则。
如果希望永久绑定到某个固定的 IP 地址，可以在 Docker 配置文件 /etc/docker/daemon.json 中添加如下内容。
{"ip": "0.0.0.0"
}
Docker 容器网络访问原理，SNAT和DNAT相关推荐
- 解锁TrueNAS SCALE 三方docker容器网络访问限制，默认是关闭的；并添加Portainer-CE容器webGUI管理器
解锁TrueNAS SCALE 三方docker容器网络访问限制,默认是关闭的:并添加Portainer-CE容器webGUI管理器 本教程环境版本:TrueNAS-SCALE-21.06-BETA. ...
- 手工模拟实现 Docker 容器网络！
大家好,我是飞哥! 如今服务器虚拟化技术已经发展到了深水区.现在业界已经有很多公司都迁移到容器上了.我们的开发写出来的代码大概率是要运行在容器上的.因此深刻理解容器网络的工作原理非常的重要.只有这样将 ...
- docker容器网络及其配置
docker容器网络及其配置 文章目录 docker容器网络及其配置 虚拟化网络 单主机与多主机的Docker网络 单节点容器间通信 不同节点容器间通信 Docker网络驱动 选择Docker网络驱动 ...
- docker容器无法访问宿主机报出 No route to host
项目场景: 提示:docker容器无法访问宿主机报出 No route to host: 例如:防火墙环境下,docker容器无法访问宿主机的其他应用端口 原因分析: 在进行docker部署的时候我们 ...
- Docker容器网络实例管理
Docker容器网络实例管理 Linux内核实现名称空间的创建 ip netns命令 可以借助ip netns命令来完成对 Network Namespace 的各种操作.ip netns命令来自于i ...
- Docker容器网络
Docker的技术依赖于Linux内核的虚拟化技术的发展,Docker使用到的网络技术有Network Namespace.Veth设备对.Iptables/Netfilter.网桥.路由等.接下来, ...
- Java Spring Boot 2.0实战Docker容器与架构原理，视频与课件，基于Linux环境...
Java Spring Boot 2.0实战Docker容器Linux与架构原理 内容摘要:Docker是最流行的开源容器引擎,Go语言开发,在互联网大规模集群.云计算.微服务等架构中广泛使用.本次课 ...
- 解决Docker容器内访问宿主机MySQL数据库服务器的问题
解决Docker容器内访问宿主机MySQL数据库服务器的问题 参考文章: (1)解决Docker容器内访问宿主机MySQL数据库服务器的问题 (2)https://www.cnblogs.com/ga ...
- docker 容器端口访问不到_docker容器无法访问宿主机端口的解决
最近在工作时遇到一个问题,docker容器无法访问宿主机的redis,telent6379端口不通. 经排查发现,该服务器启用了防火墙,防火墙把6379的端口的访问授权给docker0网卡访问即可. ...
最新文章
- 基于 Python 的 8 种常用抽样方法
- SAP QM 权限控制可以到Inspection Type上
- hardmard积 用什么符号表示_简明算术教程——第四章 线性代数——第1节 矩阵环（二）...
- python猜数游戏流程_python简单猜数游戏实例
- 【软件工程实践】结对项目-四则运算 “软件”之升级版
- Matlab和C++混合编程
- 频谱分析幅值单位_FFT分析的注意事项，您都知道吗？
- vsftpd配置虚拟用户(实战)
- linux 下idea 启动tomcat报JMX 1099错误解决办法
- ip查询js获取页面属性
- 汉语字典_Android版最新官方版,汉语字典专业版2020
- 社会工程学攻击的三个典例
- 苹果手机服务器维护中是什么意思,苹果手机故障全解析-苹果维修服务
- AccessController的doPrivileged使用
- Qt+MPlayer音乐播放器开发笔记（一）：ubuntu上编译MPlayer以及Demo演示
- iterator的用法
- 无法打开登录所请求的数据库database登录失败用户登录失败
- 直击用户大脑——用户研究新方法（眼动与脑电数据分析）
- 竞争学习神经网络-SOM
- CSS高级属性之 box-shadow 详解