高级网络功能(Docker支持的网络定制配置)

除了默认的docker0网桥，用户也可以指定网桥来连接各个容器。

在启动Docker服务的时候，使用-b BRIDGE或--bridge=BRIDGE来指定使用的网桥。

如果服务已经运行，那需要先停止服务，并删除旧的网桥：

$ sudo service docker stop

$ sudo ip link set dev docker0 down

$ sudo brctl delbr docker0

然后创建一个网桥bridge0：

$ sudo brctl addbr bridge0

$ sudo ip addr add 192.168.5.1/24 dev bridge0

$ sudo ip link set dev bridge0 up

查看确认网桥创建并启动：

$ ip addr show bridge0

配置Docker服务，默认桥接到创建的网桥上：

$ echo 'DOCKER_OPTS="-b=bridge0"' >> /etc/default/docker

$ sudo service docker start

启动Docker服务。新建一个容器，可以看到它已经桥接到了bridge0上。

可以继续用brctl show命令查看桥接的信息。另外，在容器中可以使用ip addr和ip route命令来查看IP地址配置和路由信息。

Docker默认使用的是Linux自带的网桥实现，实际上，OpenvSwitch项目作为一个成熟的虚拟交换机实现，具备更丰富的功能。将来会有越来越多的容器支持OpenvSwitch作为底层网桥实现。

1.环境

在Ubuntu 14.04系统中进行测试。操作流程也适用于RedHat/CentOS系列系统，但少数命令和配置文件可能略有差异。

2.安装Docker

安装最近版本的Docker并启动服务。默认情况下，Docker服务会创建一个名为docker0的Linux网桥，作为连接容器的本地网桥。

可以通过如下命令查看：

$ sudo brctl show

网桥docker0内部接口的默认地址可能为172.17.42.1。

$ ifconfig docker0

3.安装OpenvSwitch

通过如下命令安装OpenvSwitch：

$ sudo aptitude install openvswitch-switch

测试添加一个网桥br0并查看：

$ sudo ovs-vsctl add-br br0

$ sudo ovs-vsctl show

4.配置容器连接到OpenvSwitch网桥

目前OpenvSwitch网桥还不能直接支持挂载容器，需要手动在OpenvSwitch网桥上创建虚拟网口并挂载到容器中。

（1）创建无网口容器

启动一个ubuntu容器，并指定不创建网络，后面我们手动添加网络。较新版本的Docker默认不允许在容器内修改网络配置，需要在run的时候指定参数--privileged=true：

$ docker run --net=none --privileged=true -it ubuntu:14.04 bash

root@298bbb17c244:/#

记住这里容器的id为298bbb17c244。

此时在容器内查看网络信息，只能看到一个本地网卡lo：

root@298bbb17c244:/# ifconfig

（2）手动为容器添加网络

下载OpenvSwitch项目提供的支持Docker容器的辅助脚本ovs-docker：

$ wget https://github.com/openvswitch/ovs/raw/master/utilities/ovs-docker

$ sudo chmod a+x ovs-docker

为容器添加网卡，并挂载到br0上，命令为：

$ sudo ./ovs-docker add-port br0 eth0 298bbb17c244 --ipaddress=172.17.0.2/16

添加成功后，在容器内查看网络信息，多了一个新添加的网卡eth0，对应添加的IP地址：

root@298bbb17c244:/# ifconfig

在容器外，配置OpenvSwitch的网桥br0内部接口地址为172.17.42.2/16（只要与所挂载容器IP在同一个子网内即可）：

$ sudo ifconfig br0 172.17.42.2/16

（3）测试连通

经过上面步骤，容器已经连接到了网桥br0上了，拓扑如下所示：

容器（172.17.0.2/16）br0

网桥br0

内部端口（172.17.42.2/16）

此时，在容器内就可以测试是否连通到网桥br0上了：

root@298bbb17c244:/# ping 172.17.42.2

在容器内也可以配置默认网关为br0接口地址：

root@298bbb17c244:/# route add default gw 172.17.42.2

另外，删除该接口的命令为：

$ sudo ./ovs-docker del-port br0 eth0

实际上，Docker社区也已经讨论对OpenvSwitch进行原生支持了。在Docker原生支持OpenvSwitch之前，用户可以通过编写脚本或更高级的工具来让这一过程自动化。

默认情况下，Docker会将所有容器连接到由docker0提供的虚拟子网中。用户有时候需要两个容器之间可以直连通信，而不用通过主机网桥进行桥接。

解决办法很简单：创建一对peer接口，分别放到两个容器中，配置成点到点链路类型即可。

下面这个过程我们将手动执行Docker配置容器网络的大部分步骤。

首先启动两个容器：

$ docker run -i -t --rm --net=none base /bin/bash

$ docker run -i -t --rm --net=none base /bin/bash

找到进程号，然后创建网络命名空间的跟踪文件：

$ docker inspect -f '{{.State.Pid}}' 1f1f4c1f931a

2989

$ docker inspect -f '{{.State.Pid}}' 12e343489d2f

3004

$ sudo mkdir -p /var/run/netns

$ sudo ln -s /proc/2989/ns/net /var/run/netns/2989

$ sudo ln -s /proc/3004/ns/net /var/run/netns/3004

创建一对peer接口。

$ sudo ip link add A type veth peer name B

添加IP地址和路由信息：

$ sudo ip link set A netns 2989

$ sudo ip netns exec 2989 ip addr add 10.1.1.1/32 dev A

$ sudo ip netns exec 2989 ip link set A up

$ sudo ip netns exec 2989 ip route add 10.1.1.2/32 dev A

$ sudo ip link set B netns 3004

$ sudo ip netns exec 3004 ip addr add 10.1.1.2/32 dev B

$ sudo ip netns exec 3004 ip link set B up

$ sudo ip netns exec 3004 ip route add 10.1.1.1/32 dev B

现在这两个容器就可以相互ping通，并成功建立连接。点到点链路不需要子网和子网掩码。

此外，也可以不指定--net=none来创建点到点链路。这样容器还可以通过原先的网络来通信。

利用类似的办法，可以创建一个只跟主机通信的容器。但是一般情况下，更推荐使用--icc=false来关闭容器之间的通信。