每日速看!网工想搞懂容器网络原理，绕不开这经典的5张图！
使用容器总是感觉像使用魔法一样。对于那些理解底层原理的人来说容器很好用，但是对于不理解的人来说就是个噩梦。很幸运的是，我们已经研究容器技术很久了，甚至成功揭秘容器只是隔离并受限的 Linux 进程，运行容器并不需要镜像，以及另一个方面，构建镜像需要运行一些容器。
(资料图片仅供参考)
现在是时候解决容器网络问题了。或者更准确地说，单主机容器网络问题。本文会回答这些问题：
如何虚拟化网络资源，让容器认为自己拥有独占网络？如何让容器们和平共处，之间不会互相干扰，并且能够互相通信？从容器内部如何访问外部世界（比如，互联网）？从外部世界如何访问某台机器上的容器呢（比如，端口发布）？
最终结果很明显，单主机容器网络是已知的 Linux 功能的简单组合：网络命名空间（namespace）虚拟 Ethernet设备（veth）虚拟网络交换机（网桥）IP路由和网络地址翻译（NAT）并且不需要任何代码就可以让这样的网络魔法发生……
前提条件
任意 Linux 发行版都可以。本文例子都是在 vagrant CentOS 8 的虚拟机上执行的：
$ vagrant init centos/8
$ vagrant up
$ vagrant ssh
[vagrant@localhost ~]$ uname -a
Linux localhost.localdomain 4.18.0-147.3.1.el8_1.x86_64
为了简单起见，本文使用容器化解决方案（比如，Docker 或者 Podman）。我们会重点介绍基本概念，并使用最简单的工具来达到学习目标。
network 命名空间隔离容器
Linux 网络栈包括哪些部分？显然，是一系列网络设备。还有别的吗？可能还包括一系列的路由规则。并且不要忘记，netfilter hook，包括由iptables规则定义的。
我们可以快速创建一个并不复杂的脚本inspect-net-stack.sh：
#!/usr/bin/env bash
echo">Network devices"
ip link
echo-e "\n>Route table"
ip route
echo-e "\n>Iptables rules"
iptables --list-rules
在运行脚本前，让我们修改下 iptable rule：
$ sudo iptables -N ROOT_NS
这之后，在机器上执行上面的脚本，输出如下：
$ sudo ./inspect-net-stack.sh
>Network devices
1: lo:
2: eth0: mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000 link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff
>Route table
default via 10.0.2.2 dev eth0 proto dhcp metric 100
10.0.2.0/24 dev eth0 proto kernel scope link src 10.0.2.15 metric 100
>Iptables rules
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N ROOT_NS
我们对这些输出感兴趣，因为要确保即将创建的每个容器都有各自独立的网络栈。
你可能已经知道了，用于容器隔离的一个 Linux 命名空间是网络命名空间（network namespace）。从 man ip-netns 可以看到，“网络命名空间是网络栈逻辑上的另一个副本，它有自己的路由，防火墙规则和网络设备。”为了简化起见，这是本文使用的唯一的命名空间。我们并没有创建完全隔离的容器，而是将范围限制在网络栈上。
创建网络命名空间的一种方法是 ip 工具，它是 iproute2 的一部分：
$ sudo ip netns add netns0
$ ip netns
netns0
如何使用刚才创建的命名空间呢？一个很好用的命令 nsenter。进入一个或多个特定的命名空间，然后执行指定的脚本：
$ sudo nsenter --net=/var/run/netns/netns0 bash
# 新建的 bash 进程在 netns0 里
$ sudo ./inspect-net-stack.sh
>Network devices 1: lo:
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
>Route table
>Iptables rules
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
从上面的输出可以清楚地看到 bash 进程运行在 netns0 命名空间，这时看到的是完全不同的网络栈。这里没有路由规则，没有自定义的 iptables chain，只有一个 loopback 的网络设备。
使用虚拟的 Ethernet 设备（veth）将容器连接到主机上
如果我们无法和某个专有的网络栈通信，那么它看上去就没什么用。幸运的是，Linux 提供了好用的工具——虚拟 Ethernet设备。从 man veth 可以看到，“veth 设备是虚拟 Ethernet 设备。他们可以作为网络命名空间之间的通道（tunnel），从而创建连接到另一个命名空间里的物理网络设备的桥梁，但是也可以作为独立的网络设备使用。”
虚拟 Ethernet 设备通常都成对出现。不用担心，先看一下创建的脚本：
$ sudo ip link add veth0 typeveth peer name ceth0
用这条简单的命令，我们就可以创建一对互联的虚拟 Ethernet 设备。默认选择了 veth0 和 ceth0 这两个名称。
$ ip link
1: lo:
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff
5: ceth0@veth0: mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether 66:2d:24:e3:49:3f brd ff:ff:ff:ff:ff:ff
6: veth0@ceth0: mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether 96:e8:de:1d:22:e0 brd ff:ff:ff:ff:ff:ff
创建的 veth0 和 ceth0 都在主机的网络栈（也称为 root 网络命名空间）上。将 netns0 命名空间连接到 root 命名空间，需要将一个设备留在 root 命名空间，另一个挪到 netns0 里：
$ sudo ip link setceth0 netns netns0
# 列出所有设备，可以看到 ceth0 已经从 root 栈里消失了
$ ip link 1: lo:
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000
link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff
6: veth0@if5: mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether 96:e8:de:1d:22:e0 brd ff:ff:ff:ff:ff:ff link-netns netns0
一旦启用设备并且分配了合适的 IP 地址，其中一个设备上产生的包会立刻出现在其配对设备里，从而连接起两个命名空间。从 root 命名空间开始：
$ sudo ip link setveth0 up
$ sudo ip addr add 172.18.0.11/16 dev veth0
然后是 netns0：
$ sudo nsenter --net=/var/run/netns/netns0
$ ip link setlo up
$ ip link setceth0 up
$ ip addr add 172.18.0.10/16 dev ceth0
$ ip link
1: lo:
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
5: ceth0@if6: mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
link/ether 66:2d:24:e3:49:3f brd ff:ff:ff:ff:ff:ff link-netnsid 0
检查连通性：
# 在 netns0 里 ping root 的 veth0
$ ping -c 2 172.18.0.11
PING 172.18.0.11 (172.18.0.11) 56(84) bytes of data.
64 bytes from 172.18.0.11: icmp_seq=1 ttl=64 time=0.038 ms
64 bytes from 172.18.0.11: icmp_seq=2 ttl=64 time=0.040 ms
--- 172.18.0.11 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 58ms
rtt min/avg/max/mdev = 0.038/0.039/0.040/0.001 ms
# 离开 netns0
$ exit
# 在root命名空间里ping ceth0
$ ping -c 2 172.18.0.10
PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.
64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.073 ms
64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.046 ms
--- 172.18.0.10 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 3ms
rtt min/avg/max/mdev = 0.046/0.059/0.073/0.015 ms
同时，如果尝试从 netns0 命名空间访问其他地址，它是不可以成功的：
# 在 root 命名空间
$ ip addr show dev eth0
2: eth0: mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff
inet 10.0.2.15/24 brd 10.0.2.255 scope global dynamic noprefixroute eth0
valid_lft 84057sec preferred_lft 84057sec
inet6 fe80::5054:ff:fee3:2777/64 scope link
valid_lft forever preferred_lft forever
# 记住这里 IP 是 10.0.2.15
$ sudo nsenter --net=/var/run/netns/netns0
# 尝试ping主机的eth0
$ ping 10.0.2.15
connect: Network is unreachable
# 尝试连接外网
$ ping 8.8.8.8
connect: Network is unreachable
这也很好理解。在 netns0 路由表里没有这类包的路由。唯一的 entry 是如何到达 172.18.0.0/16 网络：
# 在netns0命名空间:
$ ip route
172.18.0.0/16 dev ceth0 proto kernel scope link src 172.18.0.10
Linux 有好几种方式建立路由表。其中一种是直接从网络接口上提取路由。记住，命名空间创建后， netns0 里的路由表是空的。但是随后我们添加了 ceth0 设备并且分配了IP地址 172.18.0.0/16。因为我们使用的不是简单的 IP 地址，而是地址和子网掩码的组合，网络栈可以从其中提取出路由信息。目的地是 172.18.0.0/16 的每个网络包都会通过 ceth0 设备。但是其他包会被丢弃。类似的，root 命名空间也有了个新的路由：
# 在root命名空间:
$ ip route
# ... 忽略无关行 ...
172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11
这里，就可以回答第一个问题了。我们了解了如何隔离，虚拟化并且连接Linux网络栈。
使用虚拟网络 switch（网桥）连接容器
容器化思想的驱动力是高效的资源共享。所以，一台机器上只运行一个容器并不常见。相反，最终目标是尽可能地在共享的环境上运行更多的隔离进程。因此，如果按照上述 veth 方案，在同一台主机上放置多个容器的话会发生什么呢？让我们尝试添加第二个容器。
# 从 root 命名空间
$ sudo ip netns add netns1
$ sudo ip link add veth1 typeveth peer name ceth1
$ sudo ip link setceth1 netns netns1
$ sudo ip link setveth1 up
$ sudo ip addr add 172.18.0.21/16 dev veth1
$ sudo nsenter --net=/var/run/netns/netns1
$ ip link setlo up
$ ip link setceth1 up
$ ip addr add 172.18.0.20/16 dev ceth1
晕！有地方出错了……netns1 有问题。它无法连接到 root，并且从 root 命名空间里也无法访问到它。但是，因为两个容器都在相同的 IP 网段 172.18.0.0/16 里，从 netns0 容器可以访问到主机的 veth1。
这里花了些时间来找到原因，不过很明显遇到的是路由问题。先查一下 root 命名空间的路由表：
$ ip route
# ... 忽略无关行... #
172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11
172.18.0.0/16 dev veth1 proto kernel scope link src 172.18.0.21
在添加了第二个 veth 对之后，root 的网络栈知道了新路由 172.18.0.0/16 dev veth1 proto kernel scope link src 172.18.0.21，但是之前已经存在该网络的路由了。当第二个容器尝试 ping veth1 时，选中的是第一个路由规则，这导致网络无法连通。如果我们删除第一个路由 sudo ip route delete 172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11，然后重新检查连通性，应该就没有问题了。netns1 可以连通，但是 netns0 就不行了。
如果我们为 netns1 选择其他的网段，应该就都可以连通。但是，多个容器在同一个 IP 网段上应该是合理的使用场景。因此，我们需要调整 veth 方案。
别忘了还有 Linux 网桥——另一种虚拟化网络技术！Linux 网桥作用类似于网络 switch。它会在连接到其上的接口间转发网络包。并且因为它是 switch，它是在 L2 层完成这些转发的。
试试这个工具。但是首先，需要清除已有设置，因为之前的一些配置现在不再需要了。删除网络命名空间：
$ sudo ip netns delete netns0
$ sudo ip netns delete netns1
$ sudo ip link delete veth0
$ sudo ip link delete ceth0
$ sudo ip link delete veth1
$ sudo ip link delete ceth1
快速重建两个容器。注意，我们没有给新的veth0和veth1设备分配任何IP地址：
$ sudo ip netns add netns0
$ sudo ip link add veth0 typeveth peer name ceth0
$ sudo ip link setveth0 up
$ sudo ip link setceth0 netns netns0
$ sudo nsenter --net=/var/run/netns/netns0
$ ip link setlo up
$ ip link setceth0 up
$ ip addr add 172.18.0.10/16 dev ceth0
$ exit
$ sudo ip netns add netns1
$ sudo ip link add veth1 typeveth peer name ceth1
$ sudo ip link setveth1 up
$ sudo ip link setceth1 netns netns1
$ sudo nsenter --net=/var/run/netns/netns1
$ ip link setlo up
$ ip link setceth1 up
$ ip addr add 172.18.0.20/16 dev ceth1
$ exit
确保主机上没有新的路由：
$ ip route
default via 10.0.2.2 dev eth0 proto dhcp metric 100
10.0.2.0/24 dev eth0 proto kernel scope link src 10.0.2.15 metric 100
最后创建网桥接口：
$ sudo ip link add br0 typebridge
$ sudo ip link setbr0 up
将veth0和veth1接到网桥上：
$ sudo ip link setveth0 master br0
$ sudo ip link setveth1 master br0
检查容器间的连通性：
$ sudo nsenter --net=/var/run/netns/netns0
$ ping -c 2 172.18.0.20
PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.
64 bytes from 172.18.0.20: icmp_seq=1 ttl=64 time=0.259 ms
64 bytes from 172.18.0.20: icmp_seq=2 ttl=64 time=0.051 ms
--- 172.18.0.20 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 2ms
rtt min/avg/max/mdev = 0.051/0.155/0.259/0.104 ms
$ sudo nsenter --net=/var/run/netns/netns1
$ ping -c 2 172.18.0.10
PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.
64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.037 ms
64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.089 ms
--- 172.18.0.10 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 36ms
rtt min/avg/max/mdev = 0.037/0.063/0.089/0.026 ms
太好了！工作得很好。用这种新方案，我们根本不需要配置 veth0 和 veth1。只需要在 ceth0 和 ceth1 端点分配两个 IP 地址。但是因为它们都连接在相同的 Ethernet上（记住，它们连接到虚拟 switch上），之间在 L2 层是连通的：
$ sudo nsenter --net=/var/run/netns/netns0
$ ip neigh
172.18.0.20 dev ceth0 lladdr 6e:9c:ae:02:60:de STALE
$ exit
$ sudo nsenter --net=/var/run/netns/netns1
$ ip neigh
172.18.0.10 dev ceth1 lladdr 66:f3:8c:75:09:29 STALE
$ exit
太好了，我们学习了如何将容器变成友邻，让它们互不干扰，但是又可以连通。
连接外部世界（ IP 路由和地址伪装（masquerading））
容器间可以通信。但是它们能和主机，比如root命名空间，通信吗？
$ sudo nsenter --net=/var/run/netns/netns0
$ ping 10.0.2.15 # eth0 address
connect: Network is unreachable
这里很明显，netns0 没有路由：
$ ip route 172.18.0.0/16 dev ceth0 proto kernel scope link src 172.18.0.10
root 命名空间不能和容器通信：
# 首先使用 exit 离开netns0:
$ ping -c 2 172.18.0.10
PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.
From 213.51.1.123 icmp_seq=1 Destination Net Unreachable
From 213.51.1.123 icmp_seq=2 Destination Net Unreachable
--- 172.18.0.10 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 3ms
$ ping -c 2 172.18.0.20
PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.
From 213.51.1.123 icmp_seq=1 Destination Net Unreachable
From 213.51.1.123 icmp_seq=2 Destination Net Unreachable
--- 172.18.0.20 ping statistics ---
2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 3ms
要建立 root 和容器命名空间的连通性，我们需要给网桥网络接口分配 IP 地址：
$ sudo ip addr add 172.18.0.1/16 dev br0
一旦给网桥网络接口分配了 IP 地址，在主机的路由表里就会多一条路由：
$ ip route
# ...忽略无关行 ...
172.18.0.0/16 dev br0 proto kernel scope link src 172.18.0.1
$ ping -c 2 172.18.0.10
PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.
64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.036 ms
64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.049 ms
--- 172.18.0.10 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 11ms
rtt min/avg/max/mdev = 0.036/0.042/0.049/0.009 ms
$ ping -c 2 172.18.0.20
PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.
64 bytes from 172.18.0.20: icmp_seq=1 ttl=64 time=0.059 ms
64 bytes from 172.18.0.20: icmp_seq=2 ttl=64 time=0.056 ms
--- 172.18.0.20 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 4ms
rtt min/avg/max/mdev = 0.056/0.057/0.059/0.007 ms
容器可能也可以 ping 网桥接口，但是它们还是无法连接到主机的 eth0。需要为容器添加默认的路由：
$ sudo nsenter --net=/var/run/netns/netns0
$ ip route add default via 172.18.0.1
$ ping -c 2 10.0.2.15
PING 10.0.2.15 (10.0.2.15) 56(84) bytes of data.
64 bytes from 10.0.2.15: icmp_seq=1 ttl=64 time=0.036 ms
64 bytes from 10.0.2.15: icmp_seq=2 ttl=64 time=0.053 ms
--- 10.0.2.15 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 14ms
rtt min/avg/max/mdev = 0.036/0.044/0.053/0.010 ms
# 为`netns1`也做上述配置
这个改动基本上把主机变成了路由，并且网桥接口变成了容器间的默认网关。
很好，我们将容器连接到 root 命名空间上。现在，继续尝试将它们连接到外部世界。Linux 上默认 disable 了网络包转发（比如，路由功能）。我们需要先启用这个功能：
# 在 root 命名空间
sudo bash -c "echo 1 >/proc/sys/net/ipv4/ip_forward"
再次检查连通性：
$ sudo nsenter --net=/var/run/netns/netns0
$ ping 8.8.8.8
# hung住了...
还是不工作。哪里弄错了呢？如果容器可以向外部发包，那么目标服务器无法将包发回容器，因为容器的IP地址是私有的，那个特定 IP 的路由规则只有本地网络知道。并且有很多容器共享的是完全相同的私有IP地址 172.18.0.10。这个问题的解决方法称为网络地址翻译（NAT）。在到达外部网络之前，容器发出的包会将源IP地址替换为主机的外部网络地址。主机还会跟踪所有已有的映射，会在将包转发回容器之前恢复之前被替换的 IP 地址。听上去很复杂，但是有一个好消息！iptables 模块让我们只需要一条命令就可以完成这一切：
$ sudo iptables -t nat -A POSTROUTING -s 172.18.0.0/16 ! -o br0 -j MASQUERADE
命令非常简单。在 nat 表里添加了一条 POSTROUTING chain 的新路由，会替换伪装所有源于 172.18.0.0/16 网络的包，但是不通过网桥接口。
检查连通性：
$ sudo nsenter --net=/var/run/netns/netns0
$ ping -c 2 8.8.8.8 PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=61 time=43.2 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=61 time=36.8 ms
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 2ms
rtt min/avg/max/mdev = 36.815/40.008/43.202/3.199 ms
要知道这里我们用的默认策略——允许所有流量，这在真实的环境里是非常危险的。主机的默认 iptables 策略是ACCEPT：
sudo iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
Docker 默认限制所有流量，随后仅仅为已知的路径启用路由。
如下是在 CentOS 8 机器上，单个容器暴露了端口 5005 时，由 Docker daemon 生成的规则：
$ sudo iptables -t filter --list-rules
-P INPUT ACCEPT
-P FORWARD DROP
-P OUTPUT ACCEPT
-N DOCKER
-N DOCKER-ISOLATION-STAGE-1
-N DOCKER-ISOLATION-STAGE-2
-N DOCKER-USER
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 5000 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
$ sudo iptables -t nat --list-rules
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P POSTROUTING ACCEPT
-P OUTPUT ACCEPT
-N DOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.2/32 -d 172.17.0.2/32 -p tcp -m tcp --dport 5000 -j MASQUERADE
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A DOCKER -i docker0 -j RETURN
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 5005 -j DNAT --to-destination 172.17.0.2:5000
$ sudo iptables -t mangle --list-rules
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
$ sudo iptables -t raw --list-rules
-P PREROUTING ACCEPT
-P OUTPUT ACCEPT
让外部世界可以访问容器（端口发布）
大家都知道可以将容器端口发布给一些（或者所有）主机的接口。但是端口发布到底是什么意思呢？
假设容器内运行着服务器：
$ sudo nsenter --net=/var/run/netns/netns0
$ python3 -m http.server -- bind172.18.0.10 5000
如果我们试着从主机上发送一个HTTP请求到这个服务器，一切都工作得很好（root命名空间和所有容器接口之间有链接，当然可以连接成功）：
# 从 root 命名空间
$ curl 172.18.0.10:5000
# ... 忽略无关行 ...
但是，如果要从外部访问这个服务器，应该使用哪个IP呢？我们知道的唯一 IP 是主机的外部接口地址 eth0：
$ curl 10.0.2.15:5000
curl: (7) Failed to connect to 10.0.2.15 port 5000: Connection refused
因此，我们需要找到方法，能够将到达主机 eth0 5000端口的所有包转发到目的地 172.18.0.10:5000。又是 iptables来帮忙！
# 外部流量
sudo iptables -t nat -A PREROUTING -d 10.0.2.15 -p tcp -m tcp --dport 5000 -j DNAT --to-destination 172.18.0.10:5000
# 本地流量 (因为它没有通过 PREROUTING chain)
sudo iptables -t nat -A OUTPUT -d 10.0.2.15 -p tcp -m tcp --dport 5000 -j DNAT --to-destination 172.18.0.10:5000
另外，需要让iptables能够在桥接网络上截获流量：
sudo modprobe br_netfilter
测试：
curl 10.0.2.15:5000
# ... 忽略无关行 ...
理解 Docker 网络驱动
我们可以怎么使用这些知识呢？比如，可以试着理解 Docke r网络模式[1]。
从 --network host模式开始。试着比较一下命令 ip link和 sudo docker run -it --rm --network host alpine ip link的输出。它们几乎一样！在 host 模式下，Docker 简单地没有使用网络命名空间隔离，容器就在 root 网络命名空间里工作，并且和主机共享网络栈。
下一个模式是 --networknone。sudo docker run -it --rm --network host alpine ip link 的输出只有一个 loopback 网络接口。这和之前创建的网络命名空间，没有添加 veth 设备前很相似。
最后是 --network bridge（默认）模式。这正是我们前文尝试创建的模式。大家可以试试ip 和iptables命令，分别从主机和容器的角度观察一下网络栈。
rootless 容器和网络
Podman 容器管理器的一个很好的特性是关注于 rootless 容器。但是，你可能注意到，本文使用了很多 sudo 命令。说明，没有 root 权限无法配置网络。Podman 在 root 网络上的方案[2] 和Docker非常相似。但是在 rootless 容器上，Podman 使用了 slirp4netns[3] 项目：
从 Linux 3.8 开始，非特权用户可以创建 user_namespaces(7) 的同时创建 network_namespaces(7)。但是，非特权网络命名空间并不是很有用，因为在主机和网络命名空间之间创建 veth(4) 仍然需要root权限
slirp4netns 可以用完全非特权的方式将网络命名空间连接到 Internet 上，通过网络命名空间里的一个TAP设备连接到用户态的TCP/IP栈（slirp）。
rootless 网络是很有限的：“从技术上说，容器本身没有 IP 地址，因为没有 root 权限，无法实现网络设备的关联。另外，从 rootless 容器 ping 是不会工作的，因为它缺少 CAP_NET_RAW 安全能力，而这是 ping 命令必需的。”但是它仍然比完全没有连接要好。
结论
本文介绍的组织容器网络的方案仅仅是可能方案的一种（可能是最为广泛使用的一种）。还有很多别的方式，由官方或者第三方插件实现，但是所有这些方案都严重依赖于 Linux 网络虚拟化技术[4]。因此，容器化可以认为是一种虚拟化技术。
原文链接：https://iximiuz.com/en/posts/container-networking-is-simple/
点个“在看”，一年不宕机 返回搜狐，查看更多
责任编辑：
标签：
推荐
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
美股异动 | 法拉第未来(FFIE.US)涨超21% 宣布将于周五举办业务更新全球投资人会议
周一，法拉第未来(FFIE US)股价高开高走，截至发稿，该股涨超21%，报0 356美元。此前宣布
来源： -
-
-
-
-
-
-
-
-
-
-
-
-
-
即时焦点：《报告》预计：2022年中国海洋石油产量5862万吨 同比增长6.9%
《报告》预计：2022年中国海洋石油产量5862万吨同比增长6 9%---人民网北京12月12日电（记者杜燕飞）中...
来源： -
-
-
财富更多》
-
潍坊银行拟赴港上市！此前已完成股权结构优化，资产规模超两千亿元
潍坊银行拟赴港上市！此前已完成股权结...
-
潍坊银行拟赴港上市！此前已完成股权结构优化，资产规模超两千亿元
潍坊银行拟赴港上市！此前已完成股权结...
-
当前最新：【中银宏观：11月金融数据点评】居民中长贷仍是宽信用堵点
【中银宏观：11月金融数据点评】居民中...
-
历史上四次特别国债发行一览，本轮7500亿融资有何影响？
历史上四次特别国债发行一览，本轮7500...
-
最新消息：中信证券：银行板块估值提升空间可观
中信证券：银行板块估值提升空间可观
动态更多》
热点
- realme10系列正式宣布 采用双曲面屏正面顶部居中挖孔
- 五菱全新微型电动车内饰官图发布 座椅采用星际形打孔工艺
- 努比亚Z40星空典藏版正式开售 采用微米级油画笔触纹理技术
- iQOO11系列正式官宣 首批搭载骁龙8Gen2机型之一
- 海信34英寸带鱼屏显示器发布 支持165Hz刷新率
- OPPO明年将商用240W超级闪充 新一代电芯支持更高倍率充电
- 第一款Android手机渲染图曝光 横向滑盖设计和全尺寸键盘
- 吉利首款纯电皮卡11月9日上市 车辆续航里程超过610公里
- 努比亚Z40SPro星空典藏版正式公布 堪称窄边框天花板
- vivo无线运动耳机2今日正式上市 首销只要119元
- 简讯：近两成稳健理财产品跌破净值，银行理财年末又遭滑铁卢
- 世界关注：利率、天气、流动性风险，今年欧元还能延续“圣诞行情“吗？
- 天天报道:《非诚勿扰》“燃烧学博士”热情追爱 学会正确表达情绪
- 手机提取视频中的音频app有哪些？
- 11月金融统计数据报告出炉 M2余额同比增长12.4%
- 首批“央地合作模式”增信试点项目！碧桂园发行10亿公司债
- 今日播报!3季度末信托业受托资产规模同比增长3.08％ 资本实力持续夯实
- 【全球快播报】央行：11月社融规模增量为1.99万亿元，比上年同期少6109亿元
- 【天天速看料】微软宣布收购伦交所约4%股份，并开展为期10年的战略合作
- 焦点速看：美银料美联储最早于明年2月停止加息 投资者如何应对？
- 消息称工行拟为碧桂园提供“内保外贷”
- 上周三大人民币汇率指数全线上涨
- 观速讯丨香港去年底外来直接投资总存量升5.9％
- 信托业协会：三季度末信托资产余额21万亿，环比略降356亿
- 焦点热门:旅行者号穿越7.5亿km的火墙，会不会被彗星撞击？
- 全球热文：摩根大通：维持邮储行（1658.HK）增持评级 目标价降至6.1港元
- 世界快播：花旗：重申长江基建（01038）“买入”评级 目标价降至51.5港元
- 美原油交易策略：油价险守70关口，反弹机会来了？
- 【全球快播报】ESG主题银行理财产品发行升温 信息披露仍待完善
- 今日热搜：广东工行扩大本外币合一银行账户试点
- 每日头条!马斯克发推呼吁起诉美“抗疫英雄”福奇 引发多方口水战
- 麦格理：下调申洲国际今明两年纯利预测 维持中性评级
- 这几个快捷键还不快快学下！
- reno7pro呼吸灯怎么换颜色?opporeno7支持无线充电功能吗?
- 国际金价下跌，关注美国通胀数据可能影响该风向
- vivox70pro分辨率在哪里设置？vivox70pro支持无线充电吗？
- 快手浏览记录权限怎么设置？快手浏览记录看不了怎么回事？
- 微信怎么设置几点发朋友圈？微信黑名单在哪里找出来？
- 小米手环能连接苹果手机吗？小米手环连接不上手机是什么原因？
- 美图秀秀怎么把背景换成白色？美图秀秀的无缝拼接在哪里？
- 小天才手表时间乱了怎么调整?小天才手表怎么取出电话卡呢？
- 苹果手机微信怎么开美颜?苹果手机怎么清理内存垃圾清理?
- 拼多多桌面红包入口怎么设置?拼多多的百亿补贴是不是正品?
- 爱奇艺缓存怎么转本地？爱奇艺缓存电视剧怎么缓存?
- 抖音自拍表情包怎么删除？抖音自拍视频是反的怎么调？
- 苹果手机微信输入法怎么设置？苹果手机忘记密码锁屏了怎么办？
- 微信支付分可以兑换东西吗？微信支付被限制是怎么回事？
- 抖音怎么识别歌曲字幕？抖音字幕怎么一句一句的出来？
- 网易云自动续费怎么退款？网易云会员可以给几个人用？
- opporeno7怎么显示电量百分比？opporeno7的手机卡槽在哪？
- 微信公众号手机可以操作吗?微信公众号的二维码怎么弄出来？
- 微信红包封面在哪里查看?微信红包提醒怎么设置?
- 微信怎么注销微信账号?微信账号限制与对方聊天怎么解除?
- 荣耀手机怎么设置横屏竖屏？荣耀手机怎么设置返回三个键?
- 微信怎么解除青少年模式？微信青少年模式密码怎么修改？
- opporeno7怎么给微信加密？opporeno7的开发者选项在哪里？
- 苹果电话本怎么导入新手机？苹果电话本怎么导入新手机？
- vivox23电池容量多少毫安？vivox23的屏幕尺寸是多大？
- 支付宝芭芭农场怎么换果树？支付宝芭芭农场种水果要多久？
- opporeno7怎么给微信加密?opporeno7的手机卡槽在哪？
- ipad自动续费怎么关闭?ipad充电充不进去怎么回事?
- 支付宝收款码怎么关闭收款?支付宝收款码怎么收花呗的钱?
- 抖音实名认证怎么解绑更换?抖音实名认证未成年会怎么样?
- word表格居中在哪里设置？word表格重复标题行怎么设置?
- qq发文件夹必须要压缩吗？qq发文件对方接收会有提示吗？
- 苹果微距镜头怎么使用？苹果微距控制要打开吗？
- 小米智能锁怎么改开门密码？小米智能锁没电了怎么开门？
- 微信小程序怎么退出登录账号？微信小程序开发一个多少钱？
- qq红钻现在不能开通了吗？qq红钻的到期日期在哪里看？
- 微信数字货币怎么开通?微信数字货币的钱怎么用？
- 微信如何修改自己的备注名称?微信备注有个耳朵是什么意思？
- 京东白条怎么提升额度?京东白条怎么提前全部还清?
- 美图秀秀视频怎么打马赛克?美图秀秀如何换照片背景底色?
- 微信二维码收款限制怎么解除?微信二维码付款怎么设置免密支付?
- 支付宝学生认证怎么取消?支付宝学生认证可以用别人的吗?
- 微信换手机怎样扫二维码登录?微信扫码扫不出来怎么回事?
- 花呗账单日和还款日怎么查询?花呗账单日当天消费怎么算?
- bilibili怎么切换短视频模式?bilibili视频怎么保存到电脑?
- 苹果手机怎么看本地文件管理?苹果手机睡眠模式在哪?
- 怎样搞好商业服务软文推广？ 写商业软文实际效果如何？
- 天天观天下！全国秋冬种基本结束 高质量田管夯实来年丰收基础
- 信息：紫金矿业（02899）：林水清、林燕获提名为监事候选人
- 全球头条：吴通控股：目前与昆仑银行合作业务收入占比较小
- 环球今亮点！盛京银行深陷诉讼高峰期，地产贷款还有多少“炸雷”？
- 个人养老金如何享受税收优惠？业内人士详解
- 天天微资讯！英国拟大幅放宽金融监管政策 欲保“脱欧”后竞争力
- 今年只剩20天，经济大省忙年末冲刺：一边猛发消费券，一边带团跨海抢单
- 【华安期货】贵金属12月11日周报：衰退交易渐进，金价延续偏强态势
- 推进数字时代城市敏捷治理
- 天天速递！日本11月PPI初值同比上涨9.3％
- 当前热议!券商晨会精华：全面修复行情进入观察适应期
- 全球百事通！张明｜国内外金融市场2022年回顾与2023年展望
- 波士顿科学宣布进行战略投资收购先瑞达医疗科技控股有限公司的多数股权
- 天天简讯:传安进(AMGN.US)将以超200亿美元收购Horizon (HZNP.US)
- 环球热讯:多地放宽楼市限购政策 房地产行业销售修复可期
- 全球即时看！旭辉控股：拟出售旭辉永升服务23.26％股份 已邀请潜在投标人竞投
- 神十四回家了！刘洋出舱挥手笑得好甜、陈东第一个在轨超200天航天员
- 神舟十四号将返回，航天员们的身体有哪些变化？看完让人心疼
- 悲观！这个冬天可能很冷、很长，2023年或成航运业拆船大年｜航运界
- 尹艳林：大力发展绿色金融，扩大绿色信贷、绿色债券等融资规模
- 全球时讯：现金管理类理财产品加速整改 专家：未来可通过“品种下沉”谋求较高收益
- 今日最新！实现“固收”与“＋”的融会贯通
- 环球百事通！瑞士信贷银行董事长称该行“确定稳定”
- 世界头条：为什么显卡比cpu贵那么多？
- 最新快讯!市场和经济学家预计英国央行将加息至4％至4.5％
- 焦点信息:美联储加息正在挤压消费金融公司
- 资讯推荐:电脑散热器性能、外观以及价格的选择顺序
- 如何避免笔记本电池鼓包？
- 热头条丨财政部：2022年特别国债不会增加财政赤字
- 天天热消息：亿联银行与陆金所将于12月29日起终止合作，用户可在亿联银行管理存款
- 上交所：支持民企发行债券，今年以来实现房地产融资1975亿
- 全球视点！杨惠妍折价出售碧桂园服务7.03%股份 拟套现逾50.55亿港元
- 聚焦：绕开匈牙利，欧盟理事会同意向乌克兰提供180亿欧元贷款
- 从太空归来的水稻
- 【天天新要闻】A股吸引股民加速进场，基金吸引力如何？下周24只新基首发，明星效应不再是选基首选
- 焦点短讯！空缺5个多月后，南京银行副行长朱钢接替行长一职
- 苹果正与面板厂商合作研制10英寸可折叠显示屏
- 头条：都说要投奔“何公子”？月度涨幅60%，华泰柏瑞何琦三季报“敢说”而火，人称当下“敢赌”？
- 广西防城港建成“光氢储”一体化通信基站
- 环球微速讯：新希望地产发行11.8亿元公司债，为首批央地联动增信新模式落地项目
- “豪饮”白酒、“喜提”家电 临近年终，北向资金抄了哪些“底”？
- 最近几周美元蹒跚而行，路透社这项预测值得注意
- 环球通讯！资本重返新兴市场，亚洲最吸金
- （财经·行情）美元指数9日小幅上涨
- 全球热推荐：币安：正进行热钱包资金整合，或导致Gas费上升与大量流入币安的交易
- 短讯！昌建控股与中原银行签署战略合作协议 将获100亿授信支持
- 每日热闻!新版macqq6.8.8上架苹果appstore
- 全球今热点：快讯！广电总局印发《5G频道技术白皮书》
- 环球热资讯！美股新股前瞻|誉凯健康闯关美股，净利高增难掩主业“疲软”？
- 环球滚动:土耳其命令商业银行进一步减少外币持有量
- FalconX：困在FTX内的资金约占该公司可支配资金的18％
- 科学岛光谱仪随卫星升空
- 年轻人不在山姆“装中产”了
- 天天看点：光明乳业股份有限公司 第七届董事会第六次会议决议公告
- 银行理财“破净”风暴！后势怎么走？投资者怎么做？最新研判来了