Docker技术入门与实战 第二版-学习笔记-8-网络功能network-3-容器访问控制和自定义网桥

1)容器访问控制

容器的访问控制，主要通过 Linux 上的 iptables防火墙来进行管理和实现。 iptables是 Linux 上默认的防火墙软件，在大部分发行版中都自带。

容器访问外部网络

容器要想访问外部网络，需要本地系统的转发支持。在Linux 系统中，检查转发是否打开:

root@36078e6ba58f:/opt/webapp# sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 

为1，说明打开了；如果为0，说明没有开启转发，则需要手动打开,在容器内运行：

sysctl -w net.ipv4.ip_forward=

如果在启动 Docker 服务的时候设定 --ip-forward = true, Docker 就会自动设定系统的 ip_forward参数为 1

容器之间访问

容器之间相互访问，需要两方面的支持：

• 容器的网络拓扑是否已经互联--icc。默认情况下，所有容器都会被连接到 docker0网桥上,默认--icc=true，能够互相ping通。

• 本地系统的防火墙软件 -- iptables是否允许通过

在本博客的Docker技术入门与实战 第二版-学习笔记-8-网络功能network-1-单个host上的容器网络中有如何让两个网段的容器互联的例子

1》访问所有端口

当启动 Docker 服务时候，默认会添加一条转发策略到 iptables 的 FORWARD 链 上。策略为通过(ACCEPT )还是禁止(DROP )取决于配置  --icc=true(缺省值，支持容器之间进行通信)还是 --icc=false(不支持)，即能否ping通。

当然，如果手动指定--iptables=false则不会添加iptables规则

可见，默认情况下，不同容器之间是允许网络互通的。如果为了安全考虑，可以在/etc/default/docker文件中配置DOCKER_OPTS=--icc=false来禁止它(具体实现在下一章的网桥部分介绍)

2》访问指定端口

在通过--icc=false关闭网络访问后，还可以通过--link=CONTAINER_NAME:ALIAS选项来访问容器的开放端口

例如，在启动 Docker 服务时，可以同时使用--icc=false --iptables=true参数来关闭允许互相的网络访问，并让Docker可以修改系统中的iptables规则。

此时，查看iptables规则,在上一篇博客生成的ubuntu5容器中执行:

root@9e11c1b9e90d:/# iptables -t nat -nL
bash: iptables: command not found

root@9e11c1b9e90d:/# apt-get install iptables
Reading package lists... Done
Building dependency tree
Reading state information... Done
E: Unable to locate package iptables

root@9e11c1b9e90d:/# apt-get update
Ign http://archive.ubuntu.com trusty InRelease
Get: http://security.ubuntu.com trusty-security InRelease [65.9 kB]
...
Get: http://archive.ubuntu.com trusty/multiverse amd64 Packages [169 kB]
Fetched 13.3 MB in 45s ( kB/s)
Reading package lists... Done

root@9e11c1b9e90d:/# apt-get install iptables
Reading package lists... Done
...
Setting up libnfnetlink0:amd64 (1.0.-) ...
Setting up libxtables10 (1.4.-1ubuntu1) ...
Setting up iptables (1.4.-1ubuntu1) ...
Processing triggers for libc-bin (2.19-0ubuntu6.) ...

root@9e11c1b9e90d:/# iptables -t nat -nL
iptables v1.4.21: can't initialize iptables table `filter': Permission denied (you must be root)

解决办法是docker run时使用参数 --privileged，然后再跑一遍：

root@9e11c1b9e90d:/# exit
exit

userdeMacBook-Pro:~ user$ docker exec -it --privileged ubuntu5 /bin/bash
Error response from daemon: Container 9e11c1b9e90dc7fe3cbdff59580e849517b254cc20081d0026cd57c4b2407f88 is not running

userdeMacBook-Pro:~ user$ docker start ubuntu5
ubuntu5

userdeMacBook-Pro:~ user$ docker exec -it --privileged ubuntu5 /bin/bash
root@9e11c1b9e90d:/# iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
DOCKER_OUTPUT  all  --  0.0.0.0/            127.0.0.11          

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
DOCKER_POSTROUTING  all  --  0.0.0.0/            127.0.0.11          

Chain DOCKER_OUTPUT ( references)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/            127.0.0.11           tcp dpt: to:127.0.0.11:
DNAT       udp  --  0.0.0.0/            127.0.0.11           udp dpt: to:127.0.0.11:

Chain DOCKER_POSTROUTING ( references)
target     prot opt source               destination
SNAT       tcp  --  127.0.0.11           0.0.0.0/            tcp spt: to::
SNAT       udp  --  127.0.0.11           0.0.0.0/            udp spt: to::
root@9e11c1b9e90d:/# 

之后，启动容器（docker run）时使用--link=CONTAINER_NAME:ALIAS选项。Docker会在iptables中为两个容器分别添加一条ACCEPT规则，允许相互访问互相开放的端口（取决于Dockerfile的EXPOSRE行）

当添加了--link=CONTAINER_NAME:ALIAS之后，iptables规则就变了(但是上面没有能够看见规则，但是使用cat /etc/hosts查看的确是连接到了db???)

注意: --link=CONTAINER_NAME:ALIAS中的 CONTAINER_NAME目前必须是 Docker 分配的名字，或使用 --name参数指定的名字。主机名则不会被识别。

2)映射容器端口到宿主主机的实现

默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器。

容器访问外部实现

容器所有到外部网络的连接，源地址都会被NAT成本地系统的IP地址。这是使用iptables的源地址伪装操作实现的。

Linux系统查看主机的 NAT 规则:

$ sudo iptables -t nat -nL
...
Chain POSTROUTING (policy ACCEPT)
target             prot  opt     source               destination
MASQUERADE  all     --     172.17.0.0/16   !172.17.0.0/16
...

其中，上述规则将所有源地址在172.17.0.0/16 网段，目标地址为其他网段 (外部网络)的流量动态伪装为从系统网卡发出。MASQUERADE 跟传统 SNAT 的好处是它能动态从网卡获取地址。

外部访问容器实现（-p 或 -P）

3）配置 docker0 网桥

Docker 默认指定了 docker0接口 的 IP 地址和子网掩码，让主机和容器之间可以通过网桥相互通信，它还给出了 MTU(接口允许接收的最大传输单元)，通常 是 1500 Bytes，或宿主主机网络路由上支持的默认值。这些值都可以在服务启动的 时候进行配置。

也可以在配置文件中配置 DOCKER_OPTS，然后重启服务。 由于目前 Docker 网桥是 Linux 网桥，用户可以使用 brctl show 来查看网桥和端口连接信息,当主机是Linux系统时。

在连接网络为host的容器中查看

root@linuxkit-:/# brctl show
bash: brctl: command not found
root@linuxkit-:/# apt-get install bridge-utils
Reading package lists... Done
Building dependency tree
Reading state information... Done
The following NEW packages will be installed:
  bridge-utils
 upgraded,  newly installed,  to remove and  not upgraded.
Need to get 29.2 kB of archives.
After this operation,  kB of additional disk space will be used.
Get: http://archive.ubuntu.com/ubuntu/ trusty/main bridge-utils amd64 1.5-6ubuntu2 [29.2 kB]
Fetched 29.2 kB in 3s ( B/s)
Selecting previously unselected package bridge-utils.
(Reading database ...  files and directories currently installed.)
Preparing to unpack .../bridge-utils_1.-6ubuntu2_amd64.deb ...
Unpacking bridge-utils (1.5-6ubuntu2) ...
Setting up bridge-utils (1.5-6ubuntu2) ...
root@linuxkit-:/# brctl show
bridge name              bridge id              STP enabled    interfaces
br-9dc30b4c7e39          .0242a6b606aa      no             veth2339518    //自定义的bridge网桥myNetwork1，有两个容器连接
                                                               veth3ee80da
br-f16ae5c303c6          .02427bc35a0e      no                            //自定义的bridge网桥myNetwork1，无容器连接
docker0                  .0242333af167      no             veth0fcbc17    //默认bridge网桥，有四个容器连接
                                                               veth229300e
                                                               veth611835f
                                                               veth87e64f4
root@linuxkit-:/# 

注: brctl命令在 Debian、Ubuntu 中可以使用 apt-get install bridge-utils来安装。

每次创建一个新容器的时候，Docker 从可用的地址段中选择一个空闲的 IP 地址分配给容器的 eth0 端口。

使用本地主机上docker0 接口的 IP 作为所有容器的默认网关,不指定连接的网段，就默认使用docker0。

1》使用--bip修改默认网桥docker的IP地址和子网掩码

首先先查看当前docker0的IP地址和子网掩码：

root@linuxkit-:/# ip addr show docker0
: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu  qdisc noqueue state UP group default
    link/ether ::c4::a1: brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/ brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
    inet6 fe80:::c4ff:fe78:a105/ scope link
       valid_lft forever preferred_lft forever

然后到daemon上去添加"bip": "192.188.0.1/16",如下图：

然后重新启动连接host网络的ubuntu6容器，查看docker0的IP：

userdeMBP:~ user$ docker start ubuntu6
ubuntu6
userdeMBP:~ user$ docker exec -it --privileged ubuntu6 /bin/bash
root@linuxkit-:/# ip addr show docker0
: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu  qdisc noqueue state UP group default
    link/ether ::4a::0f:f1 brd ff:ff:ff:ff:ff:ff
    inet 192.188.0.1/ brd 192.188.255.255 scope global docker0
       valid_lft forever preferred_lft forever
    inet6 fe80:::4aff:fe48:ff1/ scope link
       valid_lft forever preferred_lft forever

发现果然成功更改成了192.188.0.1/

4) 自定义网桥

除了默认的 docker0 网桥，用户也可以指定网桥来连接各个容器。

在启动 Docker 服务的时候，使用 -b BRIDGE或 --bridge=BRIDGE来指定使用 的网桥

如果服务已经运行，那需要先停止服务，并删除旧的网桥:

$ sudo service docker stop
$ sudo ip link set dev docker0 down
$ sudo brctl delbr docker0

添加自定义网段：

⚠️下面的方法是默认你在Linux系统下的操作方法，我是打开了一个连接了host网络的容器来给大家示范了一下步骤：

root@linuxkit-:/# brctl show
bridge name            bridge id            STP enabled    interfaces
br-9dc30b4c7e39        .0242a6b606aa    no            veth2339518
                                                    veth3ee80da
br-f16ae5c303c6        .02427bc35a0e    no
docker0                .0242333af167    no            veth0fcbc17
                                                    veth229300e
                                                    veth611835f
                                                    veth87e64f4
root@linuxkit-:/# brctl addbr bridge0  //添加一个名为bridge0的网桥
root@linuxkit-:/# ip addr add 192.168.5.1/ dev bridge0  //设置其IP地址和子网掩码为192.168.5.1/24
root@linuxkit-:/# ip link set dev bridge0 up  //然后启动
root@linuxkit-:/# brctl show
bridge name            bridge id            STP enabled    interfaces
br-9dc30b4c7e39        .0242a6b606aa    no            veth2339518
                                                    veth3ee80da
br-f16ae5c303c6        .02427bc35a0e    no
bridge0                8000.000000000000    no
docker0                .0242333af167    no            veth0fcbc17
                                                    veth229300e
                                                    veth611835f
                                                    veth87e64f4
root@linuxkit-:/# ip addr show bridge0  /查看其IP地址和子网掩码
: bridge0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu  qdisc noqueue state UNKNOWN group default qlen
    link/ether 7e::cc:ff:d1:7c brd ff:ff:ff:ff:ff:ff
    inet 192.168.5.1/ scope global bridge0
       valid_lft forever preferred_lft forever
    inet6 fe80::7c37:ccff:feff:d17c/ scope link
       valid_lft forever preferred_lft forever

然后配置 Docker 服务，默认桥接到创建的网桥上

$ echo 'DOCKER_OPTS="-b=bridge0"' >> /etc/default/docker
$ sudo service docker start

启动 Docker 服务。 新建一个容器，可以看到它已经桥接到了bridge0 上

Mac系统上怎么自定义一个网桥：

从上面的步骤我们可以看出来，和运行docker network命令得到的结果是一样的:

首先查看目前拥有的网络：

userdeMBP:~ user$ docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
f9b3e9b815d5        bridge              bridge              local
0012b4fcfb27        host                host                local
7612dc76f9c0        none                null                local

运行docker network create创建一个myNetwork1的网络，网段为172.20.11.0/24，网关为172.20.11.1：

userdeMBP:~ user$ docker network create --driver bridge --subnet 172.20.11.0/ --gateway 172.20.11.1 myNetwork1
67ae783934fe80ace7e464ee876fddb351b0750ae51ae099508ce665dde828dd
userdeMBP:~ user$ docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
f9b3e9b815d5        bridge              bridge              local
0012b4fcfb27        host                host                local
67ae783934fe        myNetwork1          bridge              local
7612dc76f9c0        none                null                local
userdeMBP:~ user$ docker network inspect 67ae783934fe
[
    {
        "Name": "myNetwork1",
        "Id": "67ae783934fe80ace7e464ee876fddb351b0750ae51ae099508ce665dde828dd",
        "Created": "2018-12-21T08:11:55.621127909Z",
        "Scope": "local",
        "Driver": "bridge",
        "EnableIPv6": false,
        "IPAM": {
            "Driver": "default",
            "Options": {},
            "Config": [
                {
                    "Subnet": "172.20.11.0/24",
                    "Gateway": "172.20.11.1"
                }
            ]
        },
        "Internal": false,
        "Attachable": false,
        "Ingress": false,
        "ConfigFrom": {
            "Network": ""
        },
        "ConfigOnly": false,
        "Containers": {},
        "Options": {},
        "Labels": {}
    }
]

然后果然成功生成该网络

然后我们打开一个连接--network=host的ubuntu：18.04容器来查看此时的网桥信息：

userdeMBP:~ user$ docker run -it --name=ubuntu1 --network=host ubuntu:18.04 /bin/bash
Unable to find image 'ubuntu:18.04' locally
18.04: Pulling from library/ubuntu
32802c0cfa4d: Pull complete
da1315cffa03: Pull complete
fa83472a3562: Pull complete
f85999a86bef: Pull complete
Digest: sha256:6d0e0c26489e33f5a6f0020edface2727db9489744ecc9b4f50c7fa671f23c49
Status: Downloaded newer image for ubuntu:18.04

root@linuxkit-:/# brctl
bash: brctl: command not found

root@linuxkit-:/# apt-get install bridge-utils
Reading package lists... Done
Building dependency tree
Reading state information... Done
E: Unable to locate package bridge-utils

root@linuxkit-:/# apt-get update //更新源
Get: http://security.ubuntu.com/ubuntu bionic-security InRelease [83.2 kB]
...
Fetched 15.3 MB in 44s ( kB/s)
Reading package lists... Done

root@linuxkit-:/# apt-get install bridge-utils
Reading package lists... Done
...

root@linuxkit-:/# brctl show
bridge name            bridge id            STP enabled    interfaces
br-67ae783934fe        .02423cfe1d7e    no
docker0                .02420f4186a9    no

从上面可见，我们自定义网络的过程其实也生成了一个自定义网桥br-67ae783934fe，如果你想要容器是连接在该网桥上的，那么在run时就使用参数--network=myNetwork1设定即可