Docker Fundamentals: полный гайд по сетям и драйверам

Вот важная новость с фронта ИИ: opensophy 29 минут назад Docker Fundamentals: полный гайд по сетям и драйверам Средний 16 мин 1. 2K Блог компании RUVDS. com Системное администрирование * Серверное администрирование * Управление проектами * Управление разработкой * Туториал ВведениеВ этой статье разберём все сетевые драйверы Docker, затронем плагины, чуть-чуть легаси-линки для старых серверов (ну те самые, которые используют старый Docker).

Сразу ориентир, чтобы не потеряться в объёме: статья разбита на две части. Часть 1 — то, что нужно знать почти всем: как контейнер видит сеть, default bridge и user-defined bridge (в реальной жизни там живёт большая часть контейнеров), host, none и базовые вещи про порты и DNS, которые касаются любой сети. Если вы новичок или просто хотите разобраться с сетью Docker для повседневной работы — этого достаточно, дальше можно не читать.

Технические детали

Часть 2 — для тех, кто уже освоился с базой и либо столкнулся с конкретной задачей, либо просто хочет разобраться глубже: тонкая настройка bridge, легаси-линки, overlay для Swarm, macvlan/ipvlan для bare metal, сетевые плагины и т. Каждый раздел там подписан, для какого сценария он актуален (если он вам сейчас не нужен, смело пропускайте и возвращайтесь, когда понадобится). Статья будет актуальна для людей, которые изучают Docker и хотят разобраться с сетями, а также для тех, кто уже знает небольшую базу по Docker.

Что вообще видит контейнерКонтейнер понятия не имеет, в какой сети он находится и кто его соседи. Он видит только сетевой интерфейс с IP-адресом, gateway, routing table и DNS. Всё остальное можно назвать абстракцией, которую строит Docker снаружи.

Когда Docker Engine стартует на Linux первый раз, он создаёт встроенную сеть bridge (её ещё называют default bridge). Любой контейнер, запущенный без --network, автоматически подключается туда. У default bridge есть masquerading (это разновидность NAT (Network Address Translation), которую Docker использует, чтобы контейнеры могли выходить в интернет через IP хоста).

Отраслевые последствия

Если у хоста есть доступ в интернет, у контейнера он тоже появится без всякой дополнительной настройки. Но у default bridge есть проблема: контейнеры внутри неё видят друг друга только по IP-адресу, а не по имени. Отсюда user-defined сети — их создают именно для того, чтобы обойти это ограничение.

Таблица драйверовДрайверЧто делаетbridgeДефолтный драйвер. Если не указали --network, будет онhostУбирает изоляцию сети между контейнером и хостомnoneПолностью изолирует контейнер от сетиoverlayСвязывает несколько Docker-демонов, нужен для SwarmipvlanПолный контроль над IPv4/IPv6 адресацией, VLAN на уровне L2/L3macvlanКонтейнер получает собственный MAC и выглядит как физическое устройство в сетиПлюс сторонние сетевые плагины, но о них отдельно ниже. Несколько сетей на один контейнерКонтейнер можно подключить сразу к нескольким сетям, точно так же как физический хост можно подключить к нескольким Ethernet-сетям одновременно.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.