Dokcer 五种网络模式

• bridge模式: 是docker的默认网络设置, 不写–network就是bridge模式。可通过-p / -P 指定端口

docker run --name t1 -d -p 8888:8080 tomcat

• 特点: 隔离性好, 会占用宿主机指定端口, 只占用一个真实IP

• host模式: 使用 --net=host / --net-work=host 指定. 容器不会获得一个独立的Network Namespace， 而是和宿主机共用一个Network Namespace。容器将不会虚拟出白己的网卡，配置自己的1P等，而是使用宿主机的IP和端口。

docker run --name t2 --network=host -d tomcat

• 特点: 隔离性最差, 性能最好, 所有端口都对外暴露, 只占用一个真实IP, 适合一个应用一台服务器的场景.

• container模式: 使用 --net=container:name_or_id 指定. 指定新创建的容器和已经存在的一个容器共享—个Network Namespace， 而不是和宿主机共享。新创建的容器不会创建白己的网卡，配置自己的1P，而是和一个指定的容器共享IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过10网卡设备通信。

docker run -name t3 -d -p 80:80 tomcat

docker run -name nginx -d --net container:t3 nginx

• 特点: 隔离性好, 性能差, 会占用前一个容器端口, 只占用一个真实P, 开发网关应用时可以考虑。

• none模式: 使用 --net=none指定. 在这种模式下，Docker容器拥有自己的Network Namespace， 但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

docker run -it --net=none busybox

• 特点: 一切全靠自定义。

• macvlan 模式:

- Docker 内置的Macvlan 驱动 (Windows 上是 Transparent） 就是为此场景而生。通过为容器提供MAC和1P地址，让容器在物理网络上成为"一等公民”。因为无须端口映射或者额外桥接，可以直接通过主机接口（或者子接口）访问容器接口。但是，Macvlan 的缺点是需要将主机网卡 (NIC) 设置为混杂模式。(Promiscuous Mode），这在大部分公有云平台上是不允许的。所以Macvlan 对于公司内部的数据中心网络来说很棒（假设公司网络组能接受NIC设置为混杂模式），但是 Macvlan 在公有云上并不可行.

- Macvlan 本身是 linux kernel模块，其功能是允许在同一个物理网卡上配置多个 MAC 地址，即多个 interface， 每个 interface 可以配置自己的 IP。macvlan 本质上是一种网卡虛拟化技术。

docker network create -d macvlan 
--subnet=192.168.31.0/241 
--ip-range=192.168.31.0/24 
--gateway=192.168.31.1 
-o parent=ens33 
macvlan31

# 加入macvlan网络

docker run -itd --name tomcat-1 --ip=192.168.31.190 --network macvlan31 tomcat
docker run -itd --name tomcat-2 --ip=192.168.31.191 --network macvlan31 tomcat

• 问题:

优点：独立P，维护方便，不占用主机端口号，使用容器默认端口
优点：拥有稳定的IP后，容器间跨主机通信成为可能，因为无论是物理机、虚拟机、容器都是物理网络的“—等公民”，容器间通信时直接指定IP即可
缺点：网络环境需要支持混杂模式，公有云不支持，不过都上公有云了，为什么不用直接用云供应商提供的容器服务呢？
缺点：部分大规模应用集群，内网P地址是稀缺资源，例如阿里云、腾讯云，不适合使用 Macvlan
缺点：默认容器端口均对外暴露，需要在内网构建应用防火墙/网关决定哪些IP的哪些端口允许外界访问，哪些不允许