Docker容器网络原理与配置

可视化演示

展示网络命名空间隔离、bridge端口映射、DNS服务发现与多网络安全策略。

网络命名空间：每栋楼的独立门禁

想象一座城市里每栋公寓楼都有自己独立的门禁系统和大堂。住户出门后，必须先通过自家门禁才能进入公共街道。Docker 的网络命名空间（Network Namespace）就是容器这栋“公寓楼”的独立门禁——每个容器都有自己的网络栈、路由表、防火墙规则和 Socket 表，彼此之间完全隔离。你在容器 A 里配置的 IP 地址、路由规则，容器 B 完全感知不到，就像两栋楼的门禁系统互不相通一样。

这种隔离是 Linux 内核提供的底层能力。当 Docker 创建一个容器时，它会为容器分配一个全新的网络命名空间，容器内部的网络接口、路由表、ARP 缓存都是独立的一套。但容器终究要跟外界通信，于是 Docker 用一对虚拟以太网线缆连接内外——这就是 veth pair（虚拟网线对）。这根网线的一头插在容器的网络命名空间里，另一头插在宿主机或一个虚拟交换机上。

跨命名空间通信必须通过 veth pair 这座“天线桥”。veth 一端是容器内的 eth0，另一端连到宿主机上的虚拟交换机（bridge）或网络设备，数据包就像一个访客刷卡出门后，沿着桥走到公共街区——命名空间隔离开内务，veth 负责内外联通。理解了这层“门禁 + 桥梁”的体系，后面所有网络驱动都是在设计不同的“街区规划方案”。

Bridge网络：小区共享主干道

Bridge 是 Docker 默认的网络驱动，也是小白最常接触的“小区规划”。想象一个小区里有一片共享花园和一条主干道，所有住户的门口都有一条小径连接到主干道上。容器之间的通信就是通过这条共享主干道完成的——一个容器的数据包从自家门口出发，沿小径并入主干道，再拐进另一个容器的家门口。

在技术上，这条“主干道”是一个 Linux 网桥（Linux Bridge），它在内核中模拟了一个二层交换机。Docker 启动时会创建一个名为 docker0 的默认网桥，分配一个私有网段（通常是 172.17.0.0/16），然后为每个连接到 bridge 网络的容器从该网段中分配一个 IP。容器内的 eth0 通过 veth pair 连接到 docker0，所有挂在同一网桥上的容器互相之间可以直接通信。

默认 bridge 网络有个“小遗憾”：它不提供内置 DNS 解析。容器重启后 IP 会变，像住户的车位号每次调整都不一样，其他人就找不到了。所以 Docker 官方建议用自定义网络。用 docker network create mynet 可以创建一个新的 bridge 网络，自定义网络自带 DNS 解析，容器之间可以用容器名互访。自定义 bridge 网络还支持在创建容器时指定 IP，就像在小区里为 VIP 预留固定车位。Bridge 网络是容器网络的“标配小区方案”，知道怎么划分子网、怎么规划门牌号，微服务之间的互联就成功了一半。

Host网络：直接住在主干道

前面说 Bridge 网络是小区里的共享主干道，容器有自己的房间和门禁。那 Host 网络就像一个沿街商铺——没有自己的院子，房间大门直接开在马路边，房客出门就是主干道。在这种模式下，容器直接使用宿主机的网络命名空间，不创建独立门禁。容器没有自己的 IP 地址，它和宿主机共享一个 IP、共享端口空间、共享路由表和防火墙规则。

Host 模式的好处是性能损失极小。因为没有 veth 转发、没有 NAT 转换，数据包从容器进程出发后直接走宿主机的物理网卡，路径最短。对于对网络延迟极度敏感的组件（如高性能缓存、实时日志采集器），Host 模式能省去一层“小区绕行”。但代价也很明显：你无法为不同的容器映射同一个宿主机端口——如果容器 A 在 8080 端口起了服务，容器 B 就没法再在 8080 端口起服务，就像沿街两个铺面不可能共用同一个门牌号做生意。

Host 网络适合的场景很明确：追求极低网络延迟、且确信不会跟宿主机端口冲突的服务。比如 kubelet、监控代理这类基础设施组件，用 Host 模式可以直接绑定宿主机端口。但如果你的业务容器需要严格隔离、需要多副本共存，Host 模式就会像两家汉堡店挤同一间铺面——只能留下一家。理解 Host 模式的取舍，能帮你在“性能”与“隔离”之间做出清醒选择。

Overlay网络：跨城高架桥

当容器分布在多台宿主机上，Bridge 网络就无能为力了——不同小区的主干道是各自独立的，住户想要跨小区通信，得有一条跨城高架桥。Overlay 网络正是这样一座架设在多台宿主机之间的虚拟高架桥。它让分布在不同物理机上的容器，感觉就像连在同一个交换机上，彼此无需关心对方宿主机在哪。

Overlay 网络的核心技术是 VXLAN（Virtual Extensible LAN）。原理很简单：容器 A 发出的数据包先被封装进一个新的 UDP 包，这个外层包的源 IP 是宿主机 A 的 IP，目标 IP 是宿主机 B 的 IP；数据包顺着物理网络到达宿主机 B 后，再被解封装还原成原始数据包转交给目标容器。整个过程像是在快递盒外面再套一个更大的快递箱，写的是宿主机之间的地址，内层才是容器之间的真实通信内容。

Overlay 网络和 Docker Swarm 深度集成。当你执行 docker swarm init 初始化 Swarm 集群后，可以创建 attachable 的 Overlay 网络，服务通过这个网络跨主机通信。Overlay 网络自带服务发现功能——一个服务名可以解析到任意一个运行该服务的副本上，就像呼叫中心打了总机号自动转到任何一个空闲坐席。在实际微服务架构中，Overlay 网络是跨主机的默认选择。它的代价是封装/解封装带来的额外 CPU 开销和些许延迟，但换来的跨主机透明通信和灵活的服务编排，在分布式系统中是值得的。

Macvlan网络：在主干道上开专属出口

前面的网络模式中，容器的流量要么走小区的共享主干道（bridge），要么走绕城高架（overlay）。Macvlan 网络则另辟蹊径：它直接在宿主机的物理网卡上建立多个带独立 MAC 地址的虚拟子接口，每个容器绑定一个虚拟子接口和独立 MAC 地址。这就好比市政公路修到了小区门口，每个住户直接在马路边开一个专属出口，出门就上大路，不经过任何小区内部道路。

Macvlan 模式最大的特点是“直接”。容器拥有跟宿主机同一网段的真实 IP，数据包从物理网卡进出，不经过网桥转发、不经过 NAT 伪装。从外部网络看，每个容器就像一个真实的物理主机，可以直接被外部设备访问，性能也接近原生网络。这在部署那些需要对外提供直接访问的网络设备类应用（如负载均衡器、防火墙）时非常有价值。

Macvlan 网络的“直接”也带来了限制：宿主机和 Macvlan 容器之间默认无法直接通信（因为虚拟 MAC 和物理 MAC 的归属不同），大量容器时物理网卡的 MAC 地址表会爆表，而且网络拓扑对底层网络设施（交换机、网关）有较强依赖。使用 Macvlan 前要像规划专用车道一样，仔细确认 IP 规划与外部网络的兼容性。一旦配置得当，你会得到一个性能卓越、拓扑直观的网络环境——容器就像沿街旺铺，路人直接进店，无需经过物业前台。

端口映射：物业总机的转接服务

外部网络如何访问容器内运行的服务？Bridge 网络中的容器处于私有网段，外部设备既不知道这个网段的存在，也没有路由到达它。这时候就需要“物业总机转接”——端口映射。你把宿主机的某个端口（如 8080）绑定到容器的某个端口（如 80），外部请求访问宿主机 8080 端口时，Docker 内核的 iptables 规则会自动把流量转发到目标容器的 80 端口。这个机制在技术上叫 DNAT（Destination Network Address Translation，目标地址转换）。

docker run -p 8080:80 nginx 这条命令的实际效果是：在宿主机 iptables 的 NAT 表中添加一条规则——凡是到达宿主机 8080 端口的 TCP 流量，目标地址都改写为特定容器的 IP:80。外部用户完全感知不到这个过程，他们以为自己访问的就是宿主机的 8080 端口，就像外边打电话给物业总机说“麻烦转 302 室”，总机转接完成后双方直接通话。

除了 -p 8080:80 这种显式映射，Docker 还支持 -P 自动分配一个随机宿主机端口，相当于总机给每个房间动态分配外线号码。但动态端口不好对外暴露——你需要先查端口再告诉别人。实际生产环境中，你应该尽量用显式映射并在防火墙层面对外网 IP 做限制，避免任何 IP 都能访问总机转接服务。端口映射是把“小区里的私有房间”变成“城市里的可访问门面”的桥，桥的设计合理与否，直接决定了服务的可达性与安全性。

容器DNS：城市电话簿

在自定义 bridge 网络中，容器可以通过容器名互相访问——ping db 能通，curl http://web:8080 能通。这是怎么做到的？Docker 内置了一个 DNS 服务，就像每个小区有自己的电话簿。当你在自定义网络中启动容器时，Docker 会在 /etc/hosts 和内部 DNS 记录中登记容器名到 IP 的映射。容器内发起域名解析请求时，Docker 的嵌入式 DNS 服务（127.0.0.11）会响应解析，返回目标容器的 IP 地址。

为什么默认 bridge 网络没有这个电话簿？因为默认 bridge 网络是 Docker 早期的兼容方案，为了向后兼容没有启用内置 DNS。而自定义网络天生就带 DNS 解析功能。这就是为什么生产环境推荐使用自定义网络——容器重启后 IP 变了不重要，只要容器名不变，其他容器通过 DNS 查询总能拿到新的 IP。

容器 DNS 还支持自定义配置：--dns 可以指定额外的上游 DNS 服务器，--dns-search 可以添加域名搜索后缀。如果容器的 DNS 配置不正确，最典型的症状是 ping 不通域名但 ping 通 IP——就像你拿着过期的电话簿打电话，号码名字对不上。在微服务架构中，容器 DNS 是最基础的服务发现机制。它让服务之间通过逻辑名字互相引用，IP 变成了可有可无的细节——就像你联系朋友只需记住名字，不需要记住他搬了多少次家的地址。

AI 应用场景

Python 演示

#!/usr/bin/env python3"""Docker 容器桥接网络模拟器：演示 bridge 网络的 IP 分配、DNS 解析与数据包转发"""  class Container:    def __init__(self, name, ip, network):        self.name = name        self.ip = ip        self.network = network        self.dns_table = {}     def register_dns(self, alias, target_ip):        self.dns_table[alias] = target_ip     def resolve(self, alias):        return self.dns_table.get(alias, None)     def send(self, dst_name, payload):        dst_ip = self.resolve(dst_name)        if not dst_ip:            print("[%s] DNS 解析失败: %s 不在电话簿中" % (self.name, dst_name))            return        print("[%s] DNS: %s -> %s" % (self.name, dst_name, dst_ip))        print("[%s] 数据包 '%s' 经 %s 网络发送到 %s" % (self.name, payload, self.network, dst_ip))        return dst_ip  class BridgeNetwork:    def __init__(self, subnet, gateway):        self.subnet = subnet        self.gateway = gateway        self.containers = {}        self._ip_counter = 2     def create_container(self, name):        ip = "%s.%d" % (self.subnet, self._ip_counter)        self._ip_counter += 1        c = Container(name, ip, "bridge")        self.containers[name] = c        for other in self.containers.values():            other.register_dns(c.name, c.ip)        return c     def print_topology(self):        print("=== bridge 网络拓扑 ===")        print("网桥: %s, 网关: %s" % (self.subnet, self.gateway))        for name, c in self.containers.items():            print("容器: %s, IP: %s" % (name, c.ip))        print()  def main():    net = BridgeNetwork("172.17.0", "172.17.0.1")    web = net.create_container("web")    app = net.create_container("app")    db = net.create_container("db")    net.print_topology()    web.send("db", "SELECT * FROM users LIMIT 10")    app.send("web", "GET /api/v1/models")    web.send("unknown", "ping")  if __name__ == "__main__":    main()

1. class Container:定义容器对象，包含名字、IP、所属网络和 DNS 缓存表，等价于一个拥有独立门牌的住户。
2. self.dns_table = {}容器的“电话簿”，记录容器名到 IP 的映射关系。
3. def resolve(self, alias):DNS 查询方法，在电话簿中查找名字对应的 IP，找不到返回 None。
4. class BridgeNetwork:模拟 Docker 的 bridge 网络管理器，负责 IP 分配和 DNS 注册。
5. self._ip_counter = 2模拟从 172.17.0.2 开始分配 IP（.1 被网关占用）。
6. def create_container(self, name):创建容器并自动分配下一个可用 IP，然后注册到所有容器的 DNS 表中。
7. for other in self.containers.values():新容器加入后，给所有现有容器更新“电话簿”，模拟 Docker 内置 DNS 的动态更新。
8. web.send("db", ...)演示容器间通过名字通信，而不是硬编码 IP。
9. web.send("unknown", "ping")演示 DNS 解析失败时的行为，帮助理解网络排障。

常见误区

面试题