# Docker网络实战：容器通信机制与隔离策略解析
在容器化部署场景中，网络是连接各个服务的关键纽带。Docker提供了丰富的网络模型，从单机容器互通到跨主机通信，从默认网桥到自定义网络，每种模式都有其适用场景。理解这些机制，能够帮助开发者设计出既安全又高效的容器网络架构。
## Docker网络模型基础
Docker安装时会自动创建三个网络：bridge、host和none。bridge网络是默认模式，容器通过虚拟网桥与宿主机通信；host模式直接使用宿主机网络栈，性能最优但隔离性弱；none模式则完全禁用网络。
查看当前网络列表：
```bash
docker network ls
```
每个容器启动时默认连接到bridge网络，通过虚拟接口对（veth pair）与宿主机网桥连接。这种模式支持容器通过IP地址相互访问，但默认情况下无法通过容器名直接通信。
## 容器间通信的三种方式
### 1. 通过IP地址通信
同一网络内的容器可通过IP直接访问。查看容器IP：
```bash
docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' container_name
```
但IP地址会随容器重启变化，不适合固定配置。
### 2. 容器名互联（自定义网络）
创建自定义网络时，Docker内置DNS解析服务，允许容器通过容器名相互访问：
```bash
# 创建自定义网络
docker network create my-net
# 启动两个容器连接到同一网络
docker run -d --name web --network my-net nginx
docker run -d --name app --network my-net myapp
# 在app容器中可通过web名称访问nginx
ping web
```
自定义网络天然支持容器名解析，相比默认bridge网络需要`--link`选项的局限性，这种方案更加灵活。
### 3. 通过链接（Legacy方式）
早期版本通过`--link`实现容器互联，但官方已标记为遗留特性，建议使用自定义网络替代。
## 外部访问容器：端口映射
容器内部服务需通过端口映射暴露给宿主机外部：
```bash
# 将容器80端口映射到宿主机8080
docker run -d -p 8080:80 nginx
# 映射多个端口
docker run -d -p 8080:80 -p 8443:443 nginx
<"vnd.p5k3.org.cn"><"dsn.p5k3.org.cn"><"abb.p5k3.org.cn">
# 随机映射宿主机端口
docker run -d -P nginx
```
`-P`自动将容器expose的端口映射到宿主机随机高端口。映射规则是`宿主机IP:宿主机端口:容器端口`，可指定监听地址实现访问控制。
## 网络隔离与安全策略
### 多租户网络隔离
通过创建多个自定义网络实现租户隔离，不同网络的容器无法直接通信：
```bash
# 创建两个隔离网络
docker network create frontend-net
docker network create backend-net
# 前端服务连接frontend-net
docker run -d --name web --network frontend-net nginx
# 后端服务连接backend-net
docker run -d --name api --network backend-net myapi
# 两个网络的容器无法互通，除非连接多个网络
```
### 容器连接多个网络
容器可同时接入多个网络，充当网关或代理角色：
```bash
# 创建网关容器，同时连接两个网络
docker run -d --name router --network frontend-net alpine sleep 3600
docker network connect backend-net router
```
此时router容器可访问frontend-net和backend-net中的任何容器，实现受控的跨网络通信。
### 网络策略控制
通过iptables规则细化访问控制。Docker自动管理的iptables规则位于DOCKER链，高级用户可自定义FORWARD链规则。
## 跨主机容器通信方案
### Overlay网络模式
Docker Swarm模式下，Overlay网络实现跨主机容器互通。初始化Swarm集群后创建overlay网络：
```bash
# 在管理节点创建overlay网络
docker network create -d overlay my-overlay
# 在不同主机上启动服务
docker service create --name app --network my-overlay myapp
```
### Macvlan网络
Macvlan直接为容器分配物理网络中的MAC地址，使容器表现为物理网络中的独立设备：
```bash
docker network create -d macvlan \
--subnet=192.168.1.0/24 \
--gateway=192.168.1.1 \
-o parent=eth0 \
macvlan-net
```
适用于容器需要与物理网络设备直接通信的场景，但可能耗尽交换机MAC地址表。
## 网络故障排查实践
### 常见诊断命令
```bash
# 查看网络配置
docker network inspect bridge
<"avg.p5k3.org.cn"><"avr.p5k3.org.cn"><"evs.p5k3.org.cn">
# 进入容器网络命名空间调试
nsenter -t $(docker inspect -f '{{.State.Pid}}' container_name) -n ip addr
# 测试容器连通性
docker exec app ping web
```
### 端口映射不生效的排查
1. 检查容器内服务是否监听正确地址（需监听0.0.0.0而非127.0.0.1）
2. 确认宿主机防火墙未阻止映射端口
3. 使用`curl http://localhost:映射端口`测试宿主机监听状态
## 性能优化建议
1. **host网络模式**：对性能敏感的服务可直接使用host模式，但需注意端口冲突问题
2. **自定义网桥**：调整MTU值匹配物理网络，避免分片
3. **并发连接限制**：通过iptables限制单IP连接数，防范DoS攻击
从单机通信到跨主机互联，Docker网络提供了分层解耦的设计理念。理解默认网桥的局限性、掌握自定义网络的DNS解析机制、熟悉overlay网络的跨主机通信原理，能够帮助开发者根据业务场景选择合适方案。生产环境中还需结合安全组策略和监控工具，构建完整的容器网络体系。