Docker 指定服務埠的背后隱藏了哪些秘密？帶你揭秘 Docker 網路的神秘面紗！

??為什么要聊這個話題呢？
??最近上線關于，“ 廣告本地日志分流 ” 新服務，服務模塊將以 Docker 「 Docker - Composer 」+ k8s 模型部署，
??上線部署測驗時，對 Dockerfile 中 EXPOSE 指令的增加產生了些許思考，這里以此為貧訓總結梳理下，分享給需要的人，揭開 Docker 網路通信的面紗！

EXPOSE 指令有什么用？

??EXPOSE 顧名思義，宣告 Docker 對外暴露的埠號，其它主機或服務可以通過此埠訪問 Docker 容器，獲得服務，

• 注意了，EXPOSE 在 Dockerfile 中定義宣告 ，而指令是否有效執行，是在 Docker Run 階段！而在 Run 階段是否執行生效，和 -P 指令有關！

• 注意了，是 -P「大寫」！而 -P 指令是否執行和 Docker 的網路模型有關！

??是不是已經繞暈了？
??不要慌，你先明確這個：

• EXPOSE 和 Docker 對外通信有關，但不一定執行生效！與 Docker 網路模型有關，
  • <換句話說就是>
• Docker 的網路模型決定了其對外通信的方式！

Docker 四種基本網路模型

??Docker 支持四種基本的網路模型：bridge模式、host模式、none模式、其他容器模式；除這四種基本的之外，還支持各種自定義模型，

??網路模型決定了 Docker 容器的通信方式，
??Docker 容器間通信方式可以統分為兩種，單機「宿主機內容器間通信」 + 多機「宿主機容器與其它節點服務通信」，

??<上面的 EXPOSE 指令，針對的是 “多機” 模式下的通信，也是實際生產中最常見的模式>

??下面詳細嘮嘮這幾種網路模型！

Bridge 模式

??Bridge 模式會為容器創建獨立的網路 namespace ，擁有獨立的網卡等網格堆疊，
??基本網路結構，如下：

??<注意：看圖之前，你要了解，在 Docker 安裝的時候，會自動添加一 Docker 使用的網橋 - docker0 >

??從上面的網路模型可以看出，容器是可以與宿主機乃至外界的其他機器通信的，但是需要額外的配置！
??同一宿主機上，Bridge 模式創建的容器會通過 DHCP 鏈接到 docker0 上，通過 docker0 實作網路的互通，「容器之間都是連接掉docker0這個網橋上的，它作為虛擬交換機使容器可以相互通信」
??但是，宿主機的 IP 地址與容器 veth pair 的 IP 地址不在同一個網段，宿主機外的網路無法主動發現容器的存在，不能直接進行容器通信，所以 Docker 提供了埠映射的方式，就是將宿主機上的埠流量映射轉發到容器內的埠上，

??舉一個簡單的例子，在 Docker Run 時使用「-p / P 」標記創建容器，將宿主機的 8300 埠系結到容器的 8300 埠：

docker run -tid —name nginx -p 8300:8300 nginx:latest

-P 標記

??當使用 -P 標記時，Docker 會隨機映射一個埠到內部容器開放的網路埠，

EXPOSE 指令

??EXPOSE 指令在 Bridge 模式下，-P 標記時，可將指定的埠隨機映射到內部容器埠，

??舉個例子，使用 EXPOSE 指定容器埠 9999，啟動一個容器：

docker run -P -d nginx:latest

??運行起來之后，就會把容器的 9999 埠映射到宿主機的 32776 埠「隨機對外埠」，

-p 標記

??當使用 -p 標記時，則可以指定要映射的IP和埠，但是在一個指定埠上只可以系結一個容器，
??支持下面幾種格式：

ip:hostport:containerport #指定ip、指定宿主機port、指定容器port
ip::containerport #指定ip、未指定宿主機port（隨機）、指定容器port
hostport:containerport #未指定ip、指定宿主機port、指定容器port

??舉個例子，啟動一個容器：

docker run -p 80:80 -v /data:/data -d nginx:latest

??運行起來之后，將容器的 80 埠映射到主機的 80 埠，

注意：Bridge 模式 為 Docker 創建默認模式「 docker run啟動容器的時候，如果不加–net引數，就默認采用這種網路模式」，

Host 模式

??Host 模式，host 即本地，容器與宿主機共用網路 namespace，沒有獨立的網路，
??網路結構圖，如下：

??Host 模式下，容器與宿主機所屬同一個網路，可以使用宿主機的 IP 地址通信，

• 對外可通過宿主機公有 IP 進行通信；
• 對內可直接用宿主機埠進行通信；

??與 Bridge 模式對比，Host 模式通信時資料包還不需要在 Bridge 中轉發或 NAT 轉換，效率、性能相對優秀！

None 模式

??None 模式，none ，即啥都沒有，不會為容器建立任何網路相關配置，需要用戶 DIY 配置進行，
??由于是 DIY ，這里不做過多介紹，

Container 模式

??Container 模式，container ，即存在共享關系，這個模式理解的時候，可以與 Host 模式做類比，Host 模式是與宿主機進行共享網路，而 Container 模式是與指定的容器共享網路結構，

??在這個模式下的容器，會使用其他容器的網路命名空間，其網路隔離性會處于bridge橋接模式與host模式之間！

??網路結構圖如下：

??Container 模式下的容器可以通過localhost與同一網路命名空間下的其他容器通信，傳輸效率較高，而且這種模式還節約了一定數量的網路資源，但它并沒有改變容器與外界通信的方式，
??在一些特殊的場景中非常有用，例如，kubernetes 的 pod，kubernetes 為pod 創建一個基礎設施容器，同一 pod 下的其他容器都以其他容器模式共享這個基礎設施容器的網路命名空間，相互之間以 localhost 訪問，構成一個統一的整體等等，

網路配置名詞解釋

??上述是 Docker 基礎的幾種網路結構，里面涉及到了部分 Linux 內核網路配置的相關知識點，下面簡單的做些解釋，

eth0

??eth0 物理網卡是指服務器上實際的網路介面設備，設備用于接收以太網資料介面，資料包在各個節點中轉發和路由，

veth

??veth 顧名思義，veth-pair 是一對的虛擬設備介面，它都是成對出現的，
??一端連著協議堆疊，一端彼此相連著，一個設備從協議堆疊讀取資料后，會將資料發送到另一個設備上去，

??正因為有這個特性，它常常充當著一個橋梁，連接著各種虛擬網路設備，典型的例子像“兩個 namespace 之間的連接”，“Bridge、OVS 之間的連接”，“Docker 容器之間的連接” 等等，以此構建出非常復雜的虛擬網路結構，比如 OpenStack Neutron，

bridge

??Bridge 設備是一種純軟體實作的虛擬交換機，可以實作交換機的二層轉發，與現實世界中的交換機功能相似，與其他虛擬網路設備一樣，可以配置 IP、MAC，Bridge 的主要功能是在多個接入 Bridge 的網路介面間轉發資料包，

EXPOSE + Host 模式用法

??梳理了那么多純網路結構，下面回歸正題！
??EXPOSE 除了上文中說的 Bridge 模式中配合 -P 使用，也可以配合 Host 模式使用！

??在 Host 模式下，容器和宿主機共享網路結構，指定 EXPOSE 埠即為使用宿主機的實際埠，這樣不用在 Docker Run 階段指定 - P 標記，同時可以完成宿主機和容器埠的一一對應，這樣的維護方式與傳統的服務器及其相似，可辨識性高，易上手！
??當然也會有不足，比如宿主機的埠被EXPOSE固定，無法實作真正的容器隔離….等等

Q&A

1、每個模式都不同，都適應什么場景使用呢？

文章中介紹了各自模式的網路架構、優缺點「缺點相對提的少」、大家可通過對比選擇適合的，
詳細的各自使用場景可關注后續文章！

2、具體在 Docker 環境中是怎么配置這些網路結構呢？

可在 Dockerfile、docker-compose.yml 中分別指定網路模型和埠映射

附錄

別人看重的大都是結果，而自己更需要注重程序！