區(qū)別：1、host模式的容器和宿主機(jī)共用一個(gè)“Network Namespace”；2、Container模式創(chuàng)建的容器會(huì)與指定的容器共享IP和端口范圍；3、None模式關(guān)閉了容器的網(wǎng)絡(luò)功能；4、Bridge默認(rèn)模式為每個(gè)容器分配設(shè)置IP。

本教程操作環(huán)境：linux7.3系統(tǒng)、docker-1.13.1版、Dell G3電腦。

docker四種網(wǎng)絡(luò)模式有什么區(qū)別

一、四種網(wǎng)絡(luò)模式

二、實(shí)現(xiàn)原理

Docker使用Linux橋接，在宿主機(jī)虛擬一個(gè)Docker容器網(wǎng)橋(docker0)，Docker啟動(dòng)一個(gè)容器時(shí)會(huì)根據(jù)Docker網(wǎng)橋的網(wǎng)段分配給容器一個(gè)IP地址，稱為Container-IP，同時(shí)Docker網(wǎng)橋是每個(gè)容器的默認(rèn)網(wǎng)關(guān)。因?yàn)樵谕凰拗鳈C(jī)內(nèi)的容器都接入同一個(gè)網(wǎng)橋，這樣容器之間就能夠通過(guò)容器的Container-IP直接通信

Docker網(wǎng)橋是宿主機(jī)虛擬出來(lái)的，并不是真實(shí) 存在的網(wǎng)絡(luò)設(shè)備，外部網(wǎng)絡(luò)是無(wú)法尋址到的，這也意味著外部網(wǎng)絡(luò)無(wú)法通過(guò)直接Container-IP訪問(wèn)到容器。如果容器希望外部訪問(wèn)能夠訪問(wèn)到，可以通過(guò)映射容器端口到宿主主機(jī)（端口映射），即docker run創(chuàng)建容器時(shí)候通過(guò) -p 或 -P 參數(shù)來(lái)啟用，訪問(wèn)容器的時(shí)候就通過(guò)[宿主機(jī)IP]:[容器端口]訪問(wèn)容器

1.Host模式

如果啟動(dòng)容器的時(shí)候使用host模式，那么這個(gè)容器將不會(huì)獲得一個(gè)獨(dú)立的Network Namespace，而是和宿主機(jī)共用一個(gè)Network Namespace，容器將不會(huì)虛擬出自己的網(wǎng)卡，配置自己的IP等，而是使用宿主機(jī)的IP和端口

使用host模式的容器可以直接使用宿主機(jī)的IP地址與外界通信，容器內(nèi)部的服務(wù)端口也可以使用宿主機(jī)的端口，不需要進(jìn)行NAT，host最大的優(yōu)勢(shì)就是網(wǎng)絡(luò)性能比較好，但是docker host上已經(jīng)使用的端口就不能再用了，網(wǎng)絡(luò)的隔離性不好

2.Container模式

創(chuàng)建的容器不會(huì)創(chuàng)建自己的網(wǎng)卡，配置自己的IP，而是和一個(gè)指定的容器共享IP、端口范圍

這個(gè)模式指定新創(chuàng)建的容器和已經(jīng)存在的一個(gè)容器共享一個(gè) Network Namespace，而不是和宿主機(jī)共享。同樣，兩個(gè)容器除了網(wǎng)絡(luò)方面，其他的如文件系統(tǒng)、進(jìn)程列表等還是隔離的。兩個(gè)容器的進(jìn)程可以通過(guò) lo 網(wǎng)卡設(shè)備通信

3.None模式

該模式關(guān)閉了容器的網(wǎng)絡(luò)功能

使用none模式，Docker容器擁有自己的Network Namespace，但是，并不為Docker容器進(jìn)行任何網(wǎng)絡(luò)配置。也就是說(shuō)，這個(gè)Docker容器沒(méi)有網(wǎng)卡、IP、路由等信息。需要我們自己為Docker容器添加網(wǎng)卡、配置IP等

這種網(wǎng)絡(luò)模式下容器只有l(wèi)o回環(huán)網(wǎng)絡(luò)，沒(méi)有其他網(wǎng)卡。none模式可以在容器創(chuàng)建時(shí)通過(guò)–network=none來(lái)指定。這種類型的網(wǎng)絡(luò)沒(méi)有辦法聯(lián)網(wǎng)，封閉的網(wǎng)絡(luò)能很好的保證容器的安全性

單機(jī)沒(méi)網(wǎng)，安全性很高，可以安全的儲(chǔ)存數(shù)據(jù)，不會(huì)被攻擊

4.Bridge模式（默認(rèn)）

此模式會(huì)為每一個(gè)容器分配、設(shè)置IP等，并將容器連接到一個(gè)docker0虛擬網(wǎng)橋，通過(guò)docker0網(wǎng)橋以及iptables nat表配置與宿主之間的關(guān)聯(lián)

當(dāng)Docker進(jìn)程啟動(dòng)時(shí)，會(huì)在主機(jī)上創(chuàng)建一個(gè)名為docker0的虛擬網(wǎng)橋，此主機(jī)上啟動(dòng)的Docker容器會(huì)連接到這個(gè)虛擬網(wǎng)橋上。虛擬網(wǎng)橋的工作方式和物理交換機(jī)類似，這樣主機(jī)上的所有容器就通過(guò)交換機(jī)連在了一個(gè)二層網(wǎng)絡(luò)中

從docker0子網(wǎng)中分配一個(gè)IP給容器使用，并設(shè)置docker0的IP地址為容器的默認(rèn)網(wǎng)關(guān)。在主機(jī)上創(chuàng)建一對(duì)虛擬網(wǎng)卡veth pair設(shè)備，Docker將veth pair設(shè)備的一端放在新創(chuàng)建的容器中，并命名為eth0（容器的網(wǎng)卡），另一端放在主機(jī)中，以vethxxx這樣類似的名字命名，并將這個(gè)網(wǎng)絡(luò)設(shè)備加入到docker0網(wǎng)橋中。可以通過(guò)brctl show命令查看

bridge模式是docker的默認(rèn)網(wǎng)絡(luò)模式，不寫–net參數(shù)，就是bridge模式。使用docker run -p時(shí)，docker實(shí)際是在iptables做了DNAT規(guī)則，實(shí)現(xiàn)端口轉(zhuǎn)發(fā)功能?？梢允褂胕ptables -t nat -vnL查看

綜上

Host : 與 宿主機(jī)共享網(wǎng)絡(luò)名稱空間/網(wǎng)絡(luò)協(xié)議棧，IP 共享、端口范圍共享.

Container: 多個(gè)容器之間共享一個(gè)networknamespaces，多個(gè)容器公用一個(gè)IP和端口范圍

None : 自 閉空間，無(wú)網(wǎng)卡，無(wú)需網(wǎng)絡(luò)連接

Bridge: 橋接， 默認(rèn)模式，在不指定網(wǎng)絡(luò)模式的情況下創(chuàng)建容器，默認(rèn)使用此模式, 通過(guò)Veth對(duì)連接容器與docker0網(wǎng)橋，網(wǎng)橋分配IP給容器,同時(shí)docker0作為“局域網(wǎng)”內(nèi)容器的網(wǎng)關(guān)，最后和宿主機(jī)網(wǎng)卡進(jìn)行通訊, 同時(shí)，通過(guò)IPtables規(guī)則將容器IP/port映射出去，用于與宿主機(jī)網(wǎng)卡交互

推薦學(xué)習(xí)：《docker視頻教程》