yeasy
141fdc80bc
* appendix/repo/nodejs.md：`docker build -t my-nodejs-app` 缺上下文参数，实际会
报 "docker buildx build" requires exactly 1 argument；补 `.`。同文件 docker run
示例里 `# -v "$ ":/usr/src/myapp \` 这一行的注释把自己的续行反斜杠也注掉了，加上
紧跟的空行，命令在 `--name my-running-script` 处就结束、没有镜像名，后面几行变成
独立的无效命令。该行内容与下一行的 --mount 重复，且 `"$ "` 已是残缺文本，删去。
* 06_repository/6.4：`openssl s_client -connect YourDomainName OR HostIP:443` 里的
占位符带空格，shell 会切成三个参数，-connect 只收到 YourDomainName，openssl 直接
报错；`docker login YourDomainName OR HostIP` 同理。改为一个变量。
* 08_data/8.2：`docker run -v $(pwd):/app -p 3000:3000 node npm run dev` 跑不起来
——官方 node 镜像没有设置 WORKDIR（docker-node 的 Dockerfile 里只有 ENTRYPOINT
与 CMD），工作目录是 /，npm 找不到 /package.json。补 -w /app，顺手引号包住 $(pwd)
并给出确定的标签（本书 4.1、7.10 都要求避免 latest）。
* 12_implementation/12.6：整段用的是 iproute2（ip link add / ip netns exec），中间
却夹了一句 `brctl addif`。bridge-utils 在当前 Debian/Ubuntu/RHEL 默认不再安装，
照抄会在这一行断掉；改成等价的 `ip link set A master docker0`。
* 14.1/14.2 的 `sysctl --system`、14.1 join 节点的 `systemctl enable/start
containerd`、6.4 的 `systemctl restart docker` 都缺 sudo，而紧邻的行（sudo tee、
14.1 第 47 行的 sudo systemctl restart containerd）都带。补齐。
* 15_etcd/demo/cluster/docker-compose.yml 仍留着顶层 `version: "3.6"`，Compose 会
警告 obsolete；11.1 明写「新文件建议直接省略该字段」，15.3 正文内联的同一份文件
也早已省略，只有磁盘上的 demo 落下了。删除后 YAML 仍可正常解析。
* 11.4：「对于 web 项目中的一个 db 容器，可能是 web_db」是 Compose V1 的下划线拼接，
V2 起统一改用连字符，只有 --compatibility 才回到下划线。
* 附录四 CMD 一节四处写成 `CMD ['executable', 'param1']` 单引号，还说「我们建议任何
服务镜像都使用这种形式」。exec 形式是 JSON，单引号解析不出来会退回 shell 形式，本书
7.4 就把 `CMD ['node', 'server.js']` 明确标为「❌ 错误：单引号（JSON 不支持）」。
一并把 `CMD ['PHP', '-a']` 的二进制名改回小写 php。
4.5 KiB
12.6 网络
Docker 的网络实现其实就是利用了 Linux 上的网络命名空间和虚拟网络设备 (特别是 veth pair)。建议先熟悉了解这两部分的基本概念再阅读本章。
12.6.1 基本原理
首先，要实现网络通信，机器需要至少一个网络接口 (物理接口或虚拟接口) 来收发数据包；此外，如果不同子网之间要进行通信，需要路由机制。
Docker 中的网络接口默认都是虚拟的接口。虚拟接口的优势之一是转发效率较高。 Linux 通过在内核中进行数据复制来实现虚拟接口之间的数据转发，发送接口的发送缓存中的数据包被直接复制到接收接口的接收缓存中。对于本地系统和容器内系统看来就像是一个正常的以太网卡，只是它不需要真正同外部网络设备通信，速度要快很多。
Docker 容器网络就利用了这项技术。它在本地主机和容器内分别创建一个虚拟接口，并让它们彼此连通 (这样的一对接口叫做 veth pair)。
12.6.2 创建网络参数
Docker 创建一个容器的时候，会执行如下操作：
- 创建一对虚拟接口，分别放到本地主机和新容器中；
- 本地主机一端桥接到默认的 docker0 或指定网桥上，并具有一个唯一的名字，如 veth65f9；
- 容器一端放到新容器中，并修改名字作为 eth0，这个接口只在容器的命名空间可见；
- 从网桥可用地址段中获取一个空闲地址分配给容器的 eth0，并配置默认路由到桥接网卡 veth65f9。
完成这些之后，容器就可以使用 eth0 虚拟网卡来连接其他容器和其他网络。
可以在 docker run 的时候通过 --network 参数来指定容器的网络配置，有 4 个可选值：
--network=bridge这个是默认值，连接到默认的网桥。--network=host告诉 Docker 不要将容器网络放到隔离的命名空间中，即不要容器化容器内的网络。此时容器使用本地主机的网络，它拥有完全的本地主机接口访问权限。容器进程可以跟主机其它 root 进程一样可以打开低范围的端口，可以访问本地网络服务比如 D-bus，还可以让容器做一些影响整个主机系统的事情，比如重启主机。因此使用这个选项的时候要非常小心。如果进一步的使用--privileged=true，容器会被允许直接配置主机的网络堆栈。--network=container:NAME_or_ID让 Docker 将新建容器的进程放到一个已存在容器的网络栈中，新容器进程有自己的文件系统、进程列表和资源限制，但会和已存在的容器共享 IP 地址和端口等网络资源，两者进程可以直接通过lo环回接口通信。--network=none让 Docker 将新容器放到隔离的网络栈中，但是不进行网络配置。之后，用户可以自己进行配置。
12.6.3 网络配置细节
用户使用 --net=none 后，可以自行配置网络，让容器达到跟平常一样具有访问网络的权限。通过这个过程，可以了解 Docker 配置网络的细节。
首先，启动一个 /bin/bash 容器，指定 --net=none 参数。
$ docker run -i -t --rm --net=none base /bin/bash
root@63f36fc01b5f:/#
在本地主机查找容器的进程 id，并为它创建网络命名空间。
$ docker inspect -f '{{.State.Pid}}' 63f36fc01b5f
2778
$ pid=2778
$ sudo mkdir -p /var/run/netns
$ sudo ln -s /proc/$pid/ns/net /var/run/netns/$pid
检查桥接网卡的 IP 和子网掩码信息。
$ ip addr show docker0
21: docker0: ...
inet 172.17.0.1/16 scope global docker0
...
创建一对 “veth pair” 接口 A 和 B，绑定 A 到网桥 docker0，并启用它
$ sudo ip link add A type veth peer name B
$ sudo ip link set A master docker0
$ sudo ip link set A up
将 B 放到容器的网络命名空间，命名为 eth0，启动它并配置一个可用 IP (桥接网段) 和默认网关。
$ sudo ip link set B netns $pid
$ sudo ip netns exec $pid ip link set dev B name eth0
$ sudo ip netns exec $pid ip link set eth0 up
$ sudo ip netns exec $pid ip addr add 172.17.0.99/16 dev eth0
$ sudo ip netns exec $pid ip route add default via 172.17.0.1
以上，就是 Docker 配置网络的具体过程。
当容器结束后，Docker 会清空容器，容器内的 eth0 会随网络命名空间一起被清除，A 接口也被自动从 docker0 卸载。
此外，用户可以使用 ip netns exec 命令来在指定网络命名空间中进行配置，从而配置容器内的网络。