请描述 Docker 的网络模型（network model）及其主要类型。

Docker 的网络模型是容器编排的核心组件之一，它负责处理容器之间、容器与宿主机之间、以及容器与外部网络之间的通信。Docker 提供了灵活且强大的网络驱动，支持多种网络模式以适应不同的应用场景。

1. Docker 网络模型核心概念

Docker 网络模型基于CNM (Container Network Model)标准，主要由以下三个核心组件构成：

1. Sandbox（沙箱）：

   • 代表一个容器的网络栈（Network Stack）。
   • 包含容器的网络接口（网卡）、路由表、DNS 配置等。
   • 它是隔离的，确保容器拥有独立的网络环境。

2. Endpoint（端点）：

   • 是 Sandbox 连接到 Network 的接口。
   • 类似于将网线插入交换机的端口。
   • 一个容器可以连接到多个网络（拥有多个 Endpoint）。

3. Network（网络）：

   • 由一组可以相互通信的 Endpoint 组成。
   • 它是 Docker 网络的抽象层，可以是 Bridge、Overlay、Macvlan 等不同类型。
   • 负责管理 IP 地址分配、路由、加密等。

2. Docker 网络的主要类型

Docker 提供了五种主要的网络驱动，每种驱动对应不同的网络模型和适用场景：

A. Bridge（桥接网络）——默认模式

这是 Docker 最基础、最常用的网络模式，适用于单机环境。

• 工作原理：
  • Docker 在宿主机上创建一个名为docker0的虚拟网桥（Linux Bridge）。
  • 每个启动的容器都会创建一对虚拟网卡（veth pair），一端在容器内（eth0），另一端连接到docker0网桥。
  • 容器通过docker0网桥进行通信，并使用 NAT（网络地址转换）访问外部网络。
• 特点：
  • 隔离性：不同 Bridge 网络下的容器默认无法直接通信。
  • 端口映射：需要通过-p参数将容器端口映射到宿主机端口才能被外部访问。
  • IP 分配：Docker 内置的 DHCP 服务为容器分配私有 IP（通常是172.17.0.0/16）。
• 适用场景：单机开发、测试环境、简单的 Web 应用。

B. Host（主机网络）

容器直接使用宿主机的网络栈，不进行网络隔离。

• 工作原理：
  • 容器共享宿主机的网络接口、IP 地址和端口。
  • 容器内看到的网络配置与宿主机完全一致。
• 特点：
  • 无隔离：容器与宿主机共享网络，没有独立的 IP。
  • 高性能：没有 NAT 转换开销，网络性能最高。
  • 端口冲突：容器使用的端口不能与宿主机或其他使用 Host 模式的容器冲突。
• 适用场景：对网络性能要求极高的应用（如监控代理、日志收集器），或需要直接绑定宿主机端口的服务。

C. None（无网络）

容器拥有独立的网络栈，但不进行任何网络配置。

• 工作原理：
  • 容器启动时只有lo（回环接口），没有其他网络接口。
  • 无法与外部通信，也无法与其他容器通信。
• 特点：
  • 完全隔离：网络层面完全断开。
  • 手动配置：需要用户手动添加网卡、配置路由（通常通过docker network connect或自定义脚本）。
• 适用场景：对安全性要求极高的批处理任务，或需要完全自定义网络配置的场景。

D. Overlay（覆盖网络）——集群模式

专为Docker Swarm或Kubernetes等集群环境设计，用于跨主机通信。

• 工作原理：
  • 基于 VXLAN 技术，在物理网络之上构建一个虚拟的二层网络。
  • 容器在不同宿主机上通信时，数据包会被封装在 UDP 包中，通过物理网络传输。
  • 内置 DNS 服务，支持服务发现。
• 特点：
  • 跨主机通信：允许不同宿主机上的容器像在同一局域网内一样通信。
  • 加密：支持 IPSEC 加密，保障数据安全。
  • 服务发现：集成 Swarm 的服务发现机制，容器可以通过服务名互相访问。
• 适用场景：微服务架构、Docker Swarm 集群、跨主机通信需求。

E. Macvlan（MAC 地址虚拟化）

为容器分配真实的物理网络接口，使容器看起来像网络中的独立物理设备。

• 工作原理：
  • 将宿主机的物理网卡虚拟化为多个子接口，每个子接口拥有独立的 MAC 地址和 IP 地址。
  • 容器直接连接到宿主机的物理网络，无需 NAT 转换。
• 特点：
  • 直接接入物理网络：容器拥有物理网络中的独立 IP，可以直接与外部设备通信。
  • 性能高：没有 NAT 和 VXLAN 封装开销。
  • 配置复杂：需要物理网络支持（如交换机端口配置），且可能受 MAC 地址数量限制。
• 适用场景：需要直接接入物理网络的应用（如网络设备模拟器、高性能计算）、传统应用迁移。

3. 网络类型对比表

4. 常用网络管理命令

# 1. 查看网络列表dockernetworkls# 2. 创建自定义 Bridge 网络dockernetwork create--driverbridge my-bridge-net# 3. 创建自定义 Overlay 网络 (需在 Swarm 模式下)dockernetwork create--driveroverlay--attachablemy-overlay-net# 4. 将容器连接到网络dockernetwork connect my-bridge-net my-container# 5. 断开容器网络连接dockernetwork disconnect my-bridge-net my-container# 6. 查看网络详细信息dockernetwork inspect my-bridge-net# 7. 删除网络dockernetworkrmmy-bridge-net

5. 总结

Docker 的网络模型通过CNM标准实现了灵活的网络隔离和通信能力：

• Bridge是单机环境的默认选择，简单易用。
• Host和None提供了极端的性能或隔离选项。
• Overlay是集群环境的核心，支持跨主机通信和服务发现。
• Macvlan则适用于需要直接接入物理网络的特殊场景。

理解这些网络类型及其工作原理，对于设计高可用、高性能的容器化应用架构至关重要。