docker的四種網(wǎng)絡模式為：1、host模式，使用“–net=host”指定；2、container模式，用“–net=container:NAME_or_ID”指定；3、none模式，用“–net=none”指定；4、bridge模式。

本教程操作環(huán)境：linux5.9.8系統(tǒng)、docker-1.13.1版、Dell G3電腦。

實現(xiàn)原理

Docker使用Linux橋接（參考《Linux虛擬網(wǎng)絡技術》），在宿主機虛擬一個Docker容器網(wǎng)橋(docker0)，Docker啟動一個容器時會根據(jù)Docker網(wǎng)橋的網(wǎng)段分配給容器一個IP地址，稱為Container-IP，同時Docker網(wǎng)橋是每個容器的默認網(wǎng)關。因為在同一宿主機內(nèi)的容器都接入同一個網(wǎng)橋，這樣容器之間就能夠通過容器的Container-IP直接通信。

Docker網(wǎng)橋是宿主機虛擬出來的，并不是真實存在的網(wǎng)絡設備，外部網(wǎng)絡是無法尋址到的，這也意味著外部網(wǎng)絡無法通過直接Container-IP訪問到容器。如果容器希望外部訪問能夠訪問到，可以通過映射容器端口到宿主主機（端口映射），即docker run創(chuàng)建容器時候通過 -p 或 -P 參數(shù)來啟用，訪問容器的時候就通過[宿主機IP]:[容器端口]訪問容器。

四類網(wǎng)絡模式

host模式

如果啟動容器的時候使用host模式，那么這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網(wǎng)卡，配置自己的IP等，而是使用宿主機的IP和端口。但是，容器的其他方面，如文件系統(tǒng)、進程列表等還是和宿主機隔離的。

使用host模式的容器可以直接使用宿主機的IP地址與外界通信，容器內(nèi)部的服務端口也可以使用宿主機的端口，不需要進行NAT，host最大的優(yōu)勢就是網(wǎng)絡性能比較好，但是docker host上已經(jīng)使用的端口就不能再用了，網(wǎng)絡的隔離性不好。

Host模式如下圖所示：

container模式

這個模式指定新創(chuàng)建的容器和已經(jīng)存在的一個容器共享一個 Network Namespace，而不是和宿主機共享。新創(chuàng)建的容器不會創(chuàng)建自己的網(wǎng)卡，配置自己的 IP，而是和一個指定的容器共享 IP、端口范圍等。同樣，兩個容器除了網(wǎng)絡方面，其他的如文件系統(tǒng)、進程列表等還是隔離的。兩個容器的進程可以通過 lo 網(wǎng)卡設備通信。

Container模式示意圖：

none模式

使用none模式，Docker容器擁有自己的Network Namespace，但是，并不為Docker容器進行任何網(wǎng)絡配置。也就是說，這個Docker容器沒有網(wǎng)卡、IP、路由等信息。需要我們自己為Docker容器添加網(wǎng)卡、配置IP等。

這種網(wǎng)絡模式下容器只有l(wèi)o回環(huán)網(wǎng)絡，沒有其他網(wǎng)卡。none模式可以在容器創(chuàng)建時通過–network=none來指定。這種類型的網(wǎng)絡沒有辦法聯(lián)網(wǎng)，封閉的網(wǎng)絡能很好的保證容器的安全性。

None模式示意圖:

bridge模式

當Docker進程啟動時，會在主機上創(chuàng)建一個名為docker0的虛擬網(wǎng)橋，此主機上啟動的Docker容器會連接到這個虛擬網(wǎng)橋上。虛擬網(wǎng)橋的工作方式和物理交換機類似，這樣主機上的所有容器就通過交換機連在了一個二層網(wǎng)絡中。

從docker0子網(wǎng)中分配一個IP給容器使用，并設置docker0的IP地址為容器的默認網(wǎng)關。在主機上創(chuàng)建一對虛擬網(wǎng)卡veth pair設備，Docker將veth pair設備的一端放在新創(chuàng)建的容器中，并命名為eth0（容器的網(wǎng)卡），另一端放在主機中，以vethxxx這樣類似的名字命名，并將這個網(wǎng)絡設備加入到docker0網(wǎng)橋中。可以通過brctl show命令查看。

bridge模式是docker的默認網(wǎng)絡模式，不寫–net參數(shù)，就是bridge模式。使用docker run -p時，docker實際是在iptables做了DNAT規(guī)則，實現(xiàn)端口轉發(fā)功能?？梢允褂胕ptables -t nat -vnL查看。

bridge模式如下圖所示：

推薦學習：《docker視頻教程》