mirror of
https://github.com/yeasy/docker_practice.git
synced 2026-03-11 12:21:17 +00:00
Use a better structure
This commit is contained in:
Baohua Yang
@@ -1,6 +1,6 @@
|
||||
# 网络配置
|
||||
## 网络配置
|
||||
|
||||
## Docker 网络概述
|
||||
### Docker 网络概述
|
||||
|
||||
Docker 容器需要网络来：
|
||||
- 与外部世界通信（访问互联网、被外部访问）
|
||||
@@ -9,7 +9,7 @@ Docker 容器需要网络来：
|
||||
|
||||
Docker 在安装时会自动配置网络基础设施，大多数情况下开箱即用。
|
||||
|
||||
## 默认网络架构
|
||||
### 默认网络架构
|
||||
|
||||
Docker 启动时自动创建以下网络组件：
|
||||
|
||||
@@ -36,7 +36,7 @@ graph TD
|
||||
Internet((互联网)) <--> eth0
|
||||
```
|
||||
|
||||
### 核心组件
|
||||
#### 核心组件
|
||||
|
||||
| 组件 | 说明 |
|
||||
|------|------|
|
||||
@@ -45,7 +45,7 @@ graph TD
|
||||
| **容器 eth0** | 容器内的网卡 |
|
||||
| **IP 地址** | 自动从 172.17.0.0/16 网段分配 |
|
||||
|
||||
### 数据流向
|
||||
#### 数据流向
|
||||
|
||||
```
|
||||
容器 A (172.17.0.2) → docker0 → 容器 B (172.17.0.3) (容器间通信)
|
||||
@@ -55,7 +55,7 @@ graph TD
|
||||
|
||||
---
|
||||
|
||||
## Docker 网络类型
|
||||
### Docker 网络类型
|
||||
|
||||
查看默认网络：
|
||||
|
||||
@@ -77,9 +77,9 @@ ghi789... none null local
|
||||
|
||||
---
|
||||
|
||||
## 用户自定义网络（推荐）
|
||||
### 用户自定义网络（推荐）
|
||||
|
||||
### 为什么要用自定义网络
|
||||
#### 为什么要用自定义网络
|
||||
|
||||
默认 bridge 网络的局限：
|
||||
|
||||
@@ -89,30 +89,30 @@ ghi789... none null local
|
||||
| 所有容器在同一网络 | 更好的隔离性 |
|
||||
| 需要 --link（已废弃） | 原生支持服务发现 |
|
||||
|
||||
### 创建自定义网络
|
||||
#### 创建自定义网络
|
||||
|
||||
```bash
|
||||
# 创建网络
|
||||
## 创建网络
|
||||
$ docker network create mynet
|
||||
|
||||
# 查看网络详情
|
||||
## 查看网络详情
|
||||
$ docker network inspect mynet
|
||||
```
|
||||
|
||||
### 使用自定义网络
|
||||
#### 使用自定义网络
|
||||
|
||||
```bash
|
||||
# 启动容器并连接到自定义网络
|
||||
## 启动容器并连接到自定义网络
|
||||
$ docker run -d --name web --network mynet nginx
|
||||
$ docker run -d --name db --network mynet postgres
|
||||
|
||||
# 在 web 容器中可以直接用容器名访问 db
|
||||
## 在 web 容器中可以直接用容器名访问 db
|
||||
$ docker exec web ping db
|
||||
PING db (172.18.0.3): 56 data bytes
|
||||
64 bytes from 172.18.0.3: seq=0 ttl=64 time=0.083 ms
|
||||
```
|
||||
|
||||
### 容器名 DNS 解析
|
||||
#### 容器名 DNS 解析
|
||||
|
||||
自定义网络自动提供 DNS 服务：
|
||||
|
||||
@@ -131,45 +131,45 @@ PING db (172.18.0.3): 56 data bytes
|
||||
|
||||
---
|
||||
|
||||
## 容器互联
|
||||
### 容器互联
|
||||
|
||||
### 同一网络内的容器
|
||||
#### 同一网络内的容器
|
||||
|
||||
同一自定义网络内的容器可以直接通信：
|
||||
|
||||
```bash
|
||||
# 创建网络
|
||||
## 创建网络
|
||||
$ docker network create app-net
|
||||
|
||||
# 启动应用和数据库
|
||||
## 启动应用和数据库
|
||||
$ docker run -d --name redis --network app-net redis
|
||||
$ docker run -d --name app --network app-net myapp
|
||||
|
||||
# app 容器中可以用 redis:6379 连接 Redis
|
||||
## app 容器中可以用 redis:6379 连接 Redis
|
||||
```
|
||||
|
||||
### 连接到多个网络
|
||||
#### 连接到多个网络
|
||||
|
||||
一个容器可以连接到多个网络：
|
||||
|
||||
```bash
|
||||
# 启动容器
|
||||
## 启动容器
|
||||
$ docker run -d --name multi-net-container --network frontend nginx
|
||||
|
||||
# 再连接到另一个网络
|
||||
## 再连接到另一个网络
|
||||
$ docker network connect backend multi-net-container
|
||||
|
||||
# 查看容器的网络
|
||||
## 查看容器的网络
|
||||
$ docker inspect multi-net-container --format '{{json .NetworkSettings.Networks}}'
|
||||
```
|
||||
|
||||
### ⚠️ --link 已废弃
|
||||
#### ⚠️ --link 已废弃
|
||||
|
||||
```bash
|
||||
# 旧方式（不推荐）
|
||||
## 旧方式（不推荐）
|
||||
$ docker run --link db:database myapp
|
||||
|
||||
# 新方式（推荐）
|
||||
## 新方式（推荐）
|
||||
$ docker network create mynet
|
||||
$ docker run --network mynet --name db postgres
|
||||
$ docker run --network mynet --name app myapp
|
||||
@@ -177,18 +177,18 @@ $ docker run --network mynet --name app myapp
|
||||
|
||||
---
|
||||
|
||||
## 端口映射
|
||||
### 端口映射
|
||||
|
||||
容器默认只能在 Docker 网络内访问。要从外部访问容器，需要端口映射：
|
||||
|
||||
### 基本语法
|
||||
#### 基本语法
|
||||
|
||||
```bash
|
||||
# -p 宿主机端口:容器端口
|
||||
## -p 宿主机端口:容器端口
|
||||
$ docker run -d -p 8080:80 nginx
|
||||
```
|
||||
|
||||
### 映射方式
|
||||
#### 映射方式
|
||||
|
||||
| 参数 | 说明 | 示例 |
|
||||
|------|------|------|
|
||||
@@ -198,14 +198,14 @@ $ docker run -d -p 8080:80 nginx
|
||||
| `-p 127.0.0.1:8080:80` | 只绑定本地 | 仅本机可访问 |
|
||||
| `-p 8080:80/udp` | UDP 端口 | UDP 协议 |
|
||||
|
||||
### 查看端口映射
|
||||
#### 查看端口映射
|
||||
|
||||
```bash
|
||||
$ docker port mycontainer
|
||||
80/tcp -> 0.0.0.0:8080
|
||||
```
|
||||
|
||||
### 端口映射示意图
|
||||
#### 端口映射示意图
|
||||
|
||||
```
|
||||
外部请求 http://宿主机IP:8080
|
||||
@@ -222,22 +222,22 @@ $ docker port mycontainer
|
||||
|
||||
---
|
||||
|
||||
## 网络隔离
|
||||
### 网络隔离
|
||||
|
||||
不同网络之间默认隔离：
|
||||
|
||||
```bash
|
||||
# 创建两个网络
|
||||
## 创建两个网络
|
||||
$ docker network create frontend
|
||||
$ docker network create backend
|
||||
|
||||
# 容器 A 在 frontend
|
||||
## 容器 A 在 frontend
|
||||
$ docker run -d --name web --network frontend nginx
|
||||
|
||||
# 容器 B 在 backend
|
||||
## 容器 B 在 backend
|
||||
$ docker run -d --name db --network backend postgres
|
||||
|
||||
# web 无法直接访问 db（不同网络）
|
||||
## web 无法直接访问 db（不同网络）
|
||||
$ docker exec web ping db
|
||||
ping: db: Name or service not known
|
||||
```
|
||||
@@ -246,34 +246,34 @@ ping: db: Name or service not known
|
||||
|
||||
---
|
||||
|
||||
## 常用命令
|
||||
### 常用命令
|
||||
|
||||
```bash
|
||||
# 列出网络
|
||||
## 列出网络
|
||||
$ docker network ls
|
||||
|
||||
# 创建网络
|
||||
## 创建网络
|
||||
$ docker network create mynet
|
||||
|
||||
# 查看网络详情
|
||||
## 查看网络详情
|
||||
$ docker network inspect mynet
|
||||
|
||||
# 连接容器到网络
|
||||
## 连接容器到网络
|
||||
$ docker network connect mynet mycontainer
|
||||
|
||||
# 断开网络连接
|
||||
## 断开网络连接
|
||||
$ docker network disconnect mynet mycontainer
|
||||
|
||||
# 删除网络
|
||||
## 删除网络
|
||||
$ docker network rm mynet
|
||||
|
||||
# 清理未使用的网络
|
||||
## 清理未使用的网络
|
||||
$ docker network prune
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 本章小结
|
||||
### 本章小结
|
||||
|
||||
| 概念 | 要点 |
|
||||
|------|------|
|
||||
@@ -283,9 +283,9 @@ $ docker network prune
|
||||
| **网络隔离** | 不同网络默认隔离，增强安全性 |
|
||||
| **--link** | 已废弃，使用自定义网络替代 |
|
||||
|
||||
## 延伸阅读
|
||||
### 延伸阅读
|
||||
|
||||
- [高级网络配置](linking.md)：容器互联详解
|
||||
- [配置 DNS](dns.md)：自定义 DNS 设置
|
||||
- [端口映射](port_bindbindbindport.md)：高级端口配置
|
||||
- [Compose 网络](../compose/compose_file.md)：Compose 中的网络配置
|
||||
- [Compose 网络](../compose/9.5_compose_file.md)：Compose 中的网络配置
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# 配置 DNS
|
||||
## 配置 DNS
|
||||
|
||||
## 容器的 DNS 机制
|
||||
### 容器的 DNS 机制
|
||||
|
||||
Docker 容器的 DNS 配置有两种情况：
|
||||
|
||||
@@ -9,18 +9,18 @@ Docker 容器的 DNS 配置有两种情况：
|
||||
|
||||
---
|
||||
|
||||
## 嵌入式 DNS (Embedded DNS)
|
||||
### 嵌入式 DNS (Embedded DNS)
|
||||
|
||||
这是 Docker 网络最强大的功能之一。在自定义网络中，容器可以通过"名字"找到彼此，而不需要知道对方的 IP（因为 IP 可能会变）。
|
||||
|
||||
```bash
|
||||
# 1. 创建自定义网络
|
||||
## 1. 创建自定义网络
|
||||
$ docker network create mynet
|
||||
|
||||
# 2. 启动容器 web 并加入网络
|
||||
## 2. 启动容器 web 并加入网络
|
||||
$ docker run -d --name web --network mynet nginx
|
||||
|
||||
# 3. 启动容器 client 并尝试 ping web
|
||||
## 3. 启动容器 client 并尝试 ping web
|
||||
$ docker run -it --rm --network mynet alpine ping web
|
||||
PING web (172.18.0.2): 56 data bytes
|
||||
64 bytes from 172.18.0.2: seq=0 ttl=64 time=0.074 ms
|
||||
@@ -31,11 +31,11 @@ Docker 守护进程在 `127.0.0.11` 运行了一个 DNS 服务器。容器内的
|
||||
|
||||
---
|
||||
|
||||
## 配置 DNS 参数
|
||||
### 配置 DNS 参数
|
||||
|
||||
如果你需要手动配置容器的 DNS（例如使用内网 DNS 服务器），可以在 `docker run` 中使用以下参数：
|
||||
|
||||
### 1. --dns
|
||||
#### 1. --dns
|
||||
|
||||
指定 DNS 服务器 IP。
|
||||
|
||||
@@ -44,7 +44,7 @@ $ docker run -it --dns=114.114.114.114 ubuntu cat /etc/resolv.conf
|
||||
nameserver 114.114.114.114
|
||||
```
|
||||
|
||||
### 2. --dns-search
|
||||
#### 2. --dns-search
|
||||
|
||||
指定 DNS 搜索域。例如设置为 `example.com`，则 `ping host` 会尝试解析 `host.example.com`。
|
||||
|
||||
@@ -52,7 +52,7 @@ nameserver 114.114.114.114
|
||||
$ docker run --dns-search=example.com myapp
|
||||
```
|
||||
|
||||
### 3. --hostname (-h)
|
||||
#### 3. --hostname (-h)
|
||||
|
||||
设置容器的主机名。
|
||||
|
||||
@@ -62,7 +62,7 @@ $ docker run -h myweb nginx
|
||||
|
||||
---
|
||||
|
||||
## 全局 DNS 配置
|
||||
### 全局 DNS 配置
|
||||
|
||||
如果希望所有容器都使用特定的 DNS 服务器（而不是继承宿主机），可以修改 `/etc/docker/daemon.json`：
|
||||
|
||||
@@ -79,9 +79,9 @@ $ docker run -h myweb nginx
|
||||
|
||||
---
|
||||
|
||||
## 常见问题
|
||||
### 常见问题
|
||||
|
||||
### Q: 容器无法解析域名
|
||||
#### Q: 容器无法解析域名
|
||||
|
||||
**现象**：`ping www.baidu.com` 失败，但 `ping 8.8.8.8` 成功。
|
||||
|
||||
@@ -90,7 +90,7 @@ $ docker run -h myweb nginx
|
||||
2. 尝试手动指定 DNS：`docker run --dns 8.8.8.8 ...`
|
||||
3. 检查防火墙是否拦截了 UDP 53 端口。
|
||||
|
||||
### Q: 无法通过容器名通信
|
||||
#### Q: 无法通过容器名通信
|
||||
|
||||
**现象**：`ping db` 提示 `bad address 'db'`。
|
||||
|
||||
@@ -100,7 +100,7 @@ $ docker run -h myweb nginx
|
||||
|
||||
---
|
||||
|
||||
## 本章小结
|
||||
### 本章小结
|
||||
|
||||
| 场景 | DNS 行为 | 备注 |
|
||||
|------|----------|------|
|
||||
@@ -108,7 +108,7 @@ $ docker run -h myweb nginx
|
||||
| **自定义网络** | Docker 嵌入式 DNS | ✅ 支持容器名解析 |
|
||||
| **手动指定** | 使用 `--dns` | 覆盖默认配置 |
|
||||
|
||||
## 延伸阅读
|
||||
### 延伸阅读
|
||||
|
||||
- [网络模式](README.md)：Docker 网络概览
|
||||
- [端口映射](port_mapping.md)：外部访问
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# 外部访问容器
|
||||
## 外部访问容器
|
||||
|
||||
## 为什么要映射端口
|
||||
### 为什么要映射端口
|
||||
|
||||
容器运行在自己的隔离网络环境中（通常是 Bridge 模式）。这意味着：
|
||||
- **容器之间**：可以通过 IP 或容器名（自定义网络）互通。
|
||||
@@ -26,14 +26,14 @@
|
||||
|
||||
---
|
||||
|
||||
## 端口映射方式
|
||||
### 端口映射方式
|
||||
|
||||
### 1. 指定映射 (-p)
|
||||
#### 1. 指定映射 (-p)
|
||||
|
||||
使用 `-p <宿主机端口>:<容器端口>` 格式。
|
||||
|
||||
```bash
|
||||
# 将宿主机的 8080 端口映射到容器的 80 端口
|
||||
## 将宿主机的 8080 端口映射到容器的 80 端口
|
||||
$ docker run -d -p 8080:80 nginx
|
||||
```
|
||||
|
||||
@@ -48,7 +48,7 @@ $ docker run -d -p 8080:80 nginx
|
||||
| `hostPort:containerPort` | 绑定所有 IP (0.0.0.0) 的特定端口 | `-p 8080:80` (默认) |
|
||||
| `containerPort` | 绑定所有 IP 的随机端口 | `-p 80` |
|
||||
|
||||
### 2. 随机映射 (-P)
|
||||
#### 2. 随机映射 (-P)
|
||||
|
||||
使用 `-P` (大写) 参数，Docker 会随机映射 Dockerfile 中 `EXPOSE` 指令暴露的所有端口到宿主机的高端口（49000-49900）。
|
||||
|
||||
@@ -68,9 +68,9 @@ abc123456 0.0.0.0:49153->80/tcp
|
||||
|
||||
---
|
||||
|
||||
## 查看端口映射
|
||||
### 查看端口映射
|
||||
|
||||
### docker port
|
||||
#### docker port
|
||||
|
||||
```bash
|
||||
$ docker port mycontainer
|
||||
@@ -78,7 +78,7 @@ $ docker port mycontainer
|
||||
80/tcp -> [::]:8080
|
||||
```
|
||||
|
||||
### docker ps
|
||||
#### docker ps
|
||||
|
||||
```bash
|
||||
$ docker ps
|
||||
@@ -88,20 +88,20 @@ abc123456 nginx 0.0.0.0:8080->80/tcp web
|
||||
|
||||
---
|
||||
|
||||
## 最佳实践与安全
|
||||
### 最佳实践与安全
|
||||
|
||||
### 1. 限制监听 IP
|
||||
#### 1. 限制监听 IP
|
||||
|
||||
默认情况下，`-p 8080:80` 会监听 `0.0.0.0:8080`，这意味着任何人只要能连接你的宿主机 IP，就能访问该服务。
|
||||
|
||||
如果不希望对外暴露（例如数据库服务），应绑定到 `127.0.0.1`：
|
||||
|
||||
```bash
|
||||
# 仅允许本机访问
|
||||
## 仅允许本机访问
|
||||
$ docker run -d -p 127.0.0.1:3306:3306 mysql
|
||||
```
|
||||
|
||||
### 2. 避免端口冲突
|
||||
#### 2. 避免端口冲突
|
||||
|
||||
如果宿主机 8080 已经被占用了，容器将无法启动。
|
||||
|
||||
@@ -109,7 +109,7 @@ $ docker run -d -p 127.0.0.1:3306:3306 mysql
|
||||
- 更换宿主机端口：`-p 8081:80`
|
||||
- 让 Docker 自动分配：`-p 80`
|
||||
|
||||
### 3. UDP 映射
|
||||
#### 3. UDP 映射
|
||||
|
||||
默认是 TCP 协议。如果要映射 UDP 服务（如 DNS, Syslog）：
|
||||
|
||||
@@ -119,14 +119,14 @@ $ docker run -d -p 53:53/udp dns-server
|
||||
|
||||
---
|
||||
|
||||
## 实现原理
|
||||
### 实现原理
|
||||
|
||||
Docker 使用 `docker-proxy` 进程（用户态）或 `iptables` DNAT 规则（内核态）来实现端口转发。
|
||||
|
||||
当流量到达宿主机端口时，iptables 规则将其目标地址修改为容器 IP 并转发：
|
||||
|
||||
```bash
|
||||
# 简化的 iptables 逻辑
|
||||
## 简化的 iptables 逻辑
|
||||
iptables -t nat -A DOCKER -p tcp --dport 8080 -j DNAT --to-destination 172.17.0.2:80
|
||||
```
|
||||
|
||||
@@ -134,7 +134,7 @@ iptables -t nat -A DOCKER -p tcp --dport 8080 -j DNAT --to-destination 172.17.0.
|
||||
|
||||
---
|
||||
|
||||
## 本章小结
|
||||
### 本章小结
|
||||
|
||||
| 要点 | 说明 |
|
||||
|------|------|
|
||||
@@ -143,7 +143,7 @@ iptables -t nat -A DOCKER -p tcp --dport 8080 -j DNAT --to-destination 172.17.0.
|
||||
| **安全性** | 默认监听所有 IP，敏感服务应绑定 `127.0.0.1` |
|
||||
| **查看** | 使用 `docker port` 或 `docker ps` |
|
||||
|
||||
## 延伸阅读
|
||||
### 延伸阅读
|
||||
|
||||
- [EXPOSE 指令](../04_image/dockerfile/expose.md)：在 Dockerfile 中声明端口
|
||||
- [网络模式](README.md)：Host 模式不需要端口映射
|
||||
|
||||
Reference in New Issue
Block a user