成人免费xxxxx在线视频软件_久久精品久久久_亚洲国产精品久久久_天天色天天色_亚洲人成一区_欧美一级欧美三级在线观看

五張圖帶你搞懂容器網(wǎng)絡(luò)的工作原理

作者：佚名
系統(tǒng) Linux
現(xiàn)在是時(shí)候解決容器網(wǎng)絡(luò)問(wèn)題了?；蛘吒鼫?zhǔn)確地說(shuō)，單主機(jī)容器網(wǎng)絡(luò)問(wèn)題。

 

使用容器總是感覺(jué)像使用魔法一樣。對(duì)于那些理解底層原理的人來(lái)說(shuō)容器很好用，但是對(duì)于不理解的人來(lái)說(shuō)就是個(gè)噩夢(mèng)。很幸運(yùn)的是，我們已經(jīng)研究容器技術(shù)很久了，甚至成功揭秘容器只是隔離并受限的 Linux 進(jìn)程，運(yùn)行容器并不需要鏡像，以及另一個(gè)方面，構(gòu)建鏡像需要運(yùn)行一些容器。

現(xiàn)在是時(shí)候解決容器網(wǎng)絡(luò)問(wèn)題了。或者更準(zhǔn)確地說(shuō)，單主機(jī)容器網(wǎng)絡(luò)問(wèn)題。本文會(huì)回答這些問(wèn)題：

  •  如何虛擬化網(wǎng)絡(luò)資源，讓容器認(rèn)為自己擁有獨(dú)占網(wǎng)絡(luò)？
  •  如何讓容器們和平共處，之間不會(huì)互相干擾，并且能夠互相通信？
  •  從容器內(nèi)部如何訪問(wèn)外部世界（比如，互聯(lián)網(wǎng)）？
  •  從外部世界如何訪問(wèn)某臺(tái)機(jī)器上的容器呢（比如，端口發(fā)布）？

最終結(jié)果很明顯，單主機(jī)容器網(wǎng)絡(luò)是已知的 Linux 功能的簡(jiǎn)單組合：

  •  網(wǎng)絡(luò)命名空間（namespace）
  •  虛擬 Ethernet設(shè)備（veth）
  •  虛擬網(wǎng)絡(luò)交換機(jī)（網(wǎng)橋）
  •  IP路由和網(wǎng)絡(luò)地址翻譯（NAT）

并且不需要任何代碼就可以讓這樣的網(wǎng)絡(luò)魔法發(fā)生……

前提條件

任意 Linux 發(fā)行版都可以。本文的所有例子都是在 vagrant CentOS 8 的虛擬機(jī)上執(zhí)行的： 

  1. $ vagrant init centos/8   
  2. $ vagrant up   
  3. $ vagrant ssh   
  4. [vagrant@localhost ~]$ uname -a   
  5. Linux localhost.localdomain 4.18.0-147.3.1.el8_1.x86_64 

為了簡(jiǎn)單起見(jiàn)，本文使用容器化解決方案（比如，Docker 或者 Podman）。我們會(huì)重點(diǎn)介紹基本概念，并使用最簡(jiǎn)單的工具來(lái)達(dá)到學(xué)習(xí)目標(biāo)。

network 命名空間隔離容器

Linux 網(wǎng)絡(luò)棧包括哪些部分？顯然，是一系列網(wǎng)絡(luò)設(shè)備。還有別的嗎？可能還包括一系列的路由規(guī)則。并且不要忘記，netfilter hook，包括由iptables規(guī)則定義的。

我們可以快速創(chuàng)建一個(gè)并不復(fù)雜的腳本 inspect-net-stack.sh： 

  1. #!/usr/bin/env bash   
  2. echo  "> Network devices"   
  3. ip link   
  4. echo -e "\n> Route table"   
  5. ip route   
  6. echo -e "\n> Iptables rules"   
  7. iptables --list-rules 

在運(yùn)行腳本前，讓我們修改下 iptable rule：

  1. $ sudo iptables -N ROOT_NS 

這之后，在機(jī)器上執(zhí)行上面的腳本，輸出如下： 

  1. $ sudo ./inspect-net-stack.sh   
  2.     > Network devices   
  3.     1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00  
  4.     2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000 link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff   
  5.     > Route table   
  6.     default via 10.0.2.2 dev eth0 proto dhcp metric 100   
  7.     10.0.2.0/24 dev eth0 proto kernel scope link src 10.0.2.15 metric 100   
  8.     > Iptables rules   
  9.     -P INPUT ACCEPT   
  10.     -P FORWARD ACCEPT   
  11.     -P OUTPUT ACCEPT   
  12.     -N ROOT_NS 

我們對(duì)這些輸出感興趣，因?yàn)橐_保即將創(chuàng)建的每個(gè)容器都有各自獨(dú)立的網(wǎng)絡(luò)棧。

你可能已經(jīng)知道了，用于容器隔離的一個(gè) Linux 命名空間是網(wǎng)絡(luò)命名空間（network namespace）。從 man ip-netns 可以看到，“網(wǎng)絡(luò)命名空間是網(wǎng)絡(luò)棧邏輯上的另一個(gè)副本，它有自己的路由，防火墻規(guī)則和網(wǎng)絡(luò)設(shè)備。”為了簡(jiǎn)化起見(jiàn)，這是本文使用的唯一的命名空間。我們并沒(méi)有創(chuàng)建完全隔離的容器，而是將范圍限制在網(wǎng)絡(luò)棧上。

創(chuàng)建網(wǎng)絡(luò)命名空間的一種方法是 ip 工具，它是 iproute2 的一部分： 

  1. $ sudo ip netns add netns0   
  2. $ ip netns   
  3. netns0 

如何使用剛才創(chuàng)建的命名空間呢？一個(gè)很好用的命令 nsenter。進(jìn)入一個(gè)或多個(gè)特定的命名空間，然后執(zhí)行指定的腳本： 

  1. $ sudo nsenter --net=/var/run/netns/netns0 bash  
  2.      # 新建的 bash 進(jìn)程在 netns0 里  
  3.  $ sudo ./inspect-net-stack.sh   
  4.     > Network devices 1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000  
  5.     link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00   
  6.     > Route table   
  7.     > Iptables rules   
  8.     -P INPUT ACCEPT   
  9.     -P FORWARD ACCEPT   
  10.     -P OUTPUT ACCEPT 

從上面的輸出可以清楚地看到 bash 進(jìn)程運(yùn)行在 netns0 命名空間，這時(shí)看到的是完全不同的網(wǎng)絡(luò)棧。這里沒(méi)有路由規(guī)則，沒(méi)有自定義的 iptables chain，只有一個(gè) loopback 的網(wǎng)絡(luò)設(shè)備。

使用虛擬的 Ethernet 設(shè)備（veth）將容器連接到主機(jī)上

如果我們無(wú)法和某個(gè)專有的網(wǎng)絡(luò)棧通信，那么它看上去就沒(méi)什么用。幸運(yùn)的是，Linux 提供了好用的工具——虛擬 Ethernet設(shè)備。從 man veth 可以看到，“veth 設(shè)備是虛擬 Ethernet 設(shè)備。他們可以作為網(wǎng)絡(luò)命名空間之間的通道（tunnel），從而創(chuàng)建連接到另一個(gè)命名空間里的物理網(wǎng)絡(luò)設(shè)備的橋梁，但是也可以作為獨(dú)立的網(wǎng)絡(luò)設(shè)備使用。”

虛擬 Ethernet 設(shè)備通常都成對(duì)出現(xiàn)。不用擔(dān)心，先看一下創(chuàng)建的腳本： 

  1. $ sudo ip link add veth0 type veth peer name ceth0 

用這條簡(jiǎn)單的命令，我們就可以創(chuàng)建一對(duì)互聯(lián)的虛擬 Ethernet 設(shè)備。默認(rèn)選擇了 veth0 和 ceth0 這兩個(gè)名稱。 

  1. $ ip link   
  2. 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000   
  3.  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00   
  4. 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000  
  5.   link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff   
  6. 5: ceth0@veth0: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000   
  7.   link/ether 66:2d:24:e3:49:3f brd ff:ff:ff:ff:ff:ff   
  8. 6: veth0@ceth0: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000   
  9.  link/ether 96:e8:de:1d:22:e0 brd ff:ff:ff:ff:ff:ff 

創(chuàng)建的 veth0 和 ceth0 都在主機(jī)的網(wǎng)絡(luò)棧（也稱為 root 網(wǎng)絡(luò)命名空間）上。將 netns0 命名空間連接到 root 命名空間，需要將一個(gè)設(shè)備留在 root 命名空間，另一個(gè)挪到 netns0 里： 

  1. $ sudo ip link set ceth0 netns netns0   
  2.     # 列出所有設(shè)備，可以看到 ceth0 已經(jīng)從 root 棧里消失了   
  3.    $ ip link 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000   
  4.     link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00   
  5.    2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000   
  6.    link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff   
  7.    6: veth0@if5: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000   
  8.     link/ether 96:e8:de:1d:22:e0 brd ff:ff:ff:ff:ff:ff link-netns netns0 

一旦啟用設(shè)備并且分配了合適的 IP 地址，其中一個(gè)設(shè)備上產(chǎn)生的包會(huì)立刻出現(xiàn)在其配對(duì)設(shè)備里，從而連接起兩個(gè)命名空間。從 root 命名空間開(kāi)始： 

  1. $ sudo ip link set veth0 up   
  2. $ sudo ip addr add 172.18.0.11/16 dev veth0  

然后是 netns0： 

  1. $ sudo nsenter --net=/var/run/netns/netns0   
  2. $ ip link set lo up   
  3. $ ip link set ceth0 up   
  4. $ ip addr add 172.18.0.10/16 dev ceth0   
  5. $ ip link   
  6. 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000   
  7.  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00  
  8.  5: ceth0@if6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000   
  9.  link/ether 66:2d:24:e3:49:3f brd ff:ff:ff:ff:ff:ff link-netnsid 0 

檢查連通性： 

  1. # 在 netns0 里 ping root 的 veth0   
  2.  $ ping -c 2 172.18.0.11   
  3.  PING 172.18.0.11 (172.18.0.11) 56(84) bytes of data.  
  4.  64 bytes from 172.18.0.11: icmp_seq=1 ttl=64 time=0.038 ms   
  5.  64 bytes from 172.18.0.11: icmp_seq=2 ttl=64 time=0.040 ms   
  6.  --- 172.18.0.11 ping statistics ---   
  7.  2 packets transmitted, 2 received, 0% packet loss, time 58ms   
  8.  rtt min/avg/max/mdev = 0.038/0.039/0.040/0.001 ms   
  9.  # 離開(kāi) netns0  
  10.  $ exit    
  11.  # 在root命名空間里ping ceth0   
  12.  $ ping -c 2 172.18.0.10   
  13.  PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.   
  14.  64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.073 ms   
  15.  64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.046 ms   
  16.  --- 172.18.0.10 ping statistics ---   
  17.  2 packets transmitted, 2 received, 0% packet loss, time 3ms   
  18.  rtt min/avg/max/mdev = 0.046/0.059/0.073/0.015 ms 

同時(shí)，如果嘗試從 netns0 命名空間訪問(wèn)其他地址，它是不可以成功的： 

  1. # 在 root 命名空間   
  2.    $ ip addr show dev eth0   
  3.    2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000   
  4.     link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff   
  5.     inet 10.0.2.15/24 brd 10.0.2.255 scope global dynamic noprefixroute eth0   
  6.   valid_lft 84057sec preferred_lft 84057sec  
  7.     inet6 fe80::5054:ff:fee3:2777/64 scope link   
  8.      valid_lft forever preferred_lft forever   
  9.     # 記住這里 IP 是 10.0.2.15  
  10.    $ sudo nsenter --net=/var/run/netns/netns0   
  11.    # 嘗試ping主機(jī)的eth0   
  12.    $ ping 10.0.2.15   
  13.    connect: Network is unreachable   
  14.    # 嘗試連接外網(wǎng)  
  15.    $ ping 8.8.8.8   
  16.    connect: Network is unreachable 

這也很好理解。在 netns0 路由表里沒(méi)有這類包的路由。唯一的 entry 是如何到達(dá) 172.18.0.0/16 網(wǎng)絡(luò)： 

  1. # 在netns0命名空間:   
  2.     $ ip route   
  3.     172.18.0.0/16 dev ceth0 proto kernel scope link src 172.18.0.10  

Linux 有好幾種方式建立路由表。其中一種是直接從網(wǎng)絡(luò)接口上提取路由。記住，命名空間創(chuàng)建后， netns0 里的路由表是空的。但是隨后我們添加了 ceth0 設(shè)備并且分配了IP地址 172.18.0.0/16。因?yàn)槲覀兪褂玫牟皇呛?jiǎn)單的 IP 地址，而是地址和子網(wǎng)掩碼的組合，網(wǎng)絡(luò)?？梢詮钠渲刑崛〕雎酚尚畔?。目的地是 172.18.0.0/16 的每個(gè)網(wǎng)絡(luò)包都會(huì)通過(guò) ceth0 設(shè)備。但是其他包會(huì)被丟棄。類似的，root 命名空間也有了個(gè)新的路由： 

  1. # 在root命名空間:   
  2.     $ ip route   
  3.     # ... 忽略無(wú)關(guān)行 ...   
  4.     172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11 

這里，就可以回答第一個(gè)問(wèn)題了。我們了解了如何隔離，虛擬化并且連接Linux網(wǎng)絡(luò)棧。

使用虛擬網(wǎng)絡(luò) switch（網(wǎng)橋）連接容器

容器化思想的驅(qū)動(dòng)力是高效的資源共享。所以，一臺(tái)機(jī)器上只運(yùn)行一個(gè)容器并不常見(jiàn)。相反，最終目標(biāo)是盡可能地在共享的環(huán)境上運(yùn)行更多的隔離進(jìn)程。因此，如果按照上述 veth 方案，在同一臺(tái)主機(jī)上放置多個(gè)容器的話會(huì)發(fā)生什么呢？讓我們嘗試添加第二個(gè)容器。 

  1. # 從 root 命名空間   
  2.     $ sudo ip netns add netns1   
  3.     $ sudo ip link add veth1 type veth peer name ceth1   
  4.     $ sudo ip link set ceth1 netns netns1   
  5.     $ sudo ip link set veth1 up   
  6.     $ sudo ip addr add 172.18.0.21/16 dev veth1   
  7.     $ sudo nsenter --net=/var/run/netns/netns1   
  8.     $ ip link set lo up   
  9.     $ ip link set ceth1 up   
  10.     $ ip addr add 172.18.0.20/16 dev ceth1 

檢查連通性： 

  1. # 從 netns1 無(wú)法連通 root 命名空間!   
  2.     $ ping -c 2 172.18.0.21   
  3.     PING 172.18.0.21 (172.18.0.21) 56(84) bytes of data.   
  4.     From 172.18.0.20 icmp_seq=1 Destination Host Unreachable   
  5.     From 172.18.0.20 icmp_seq=2 Destination Host Unreachable   
  6.     --- 172.18.0.21 ping statistics ---   
  7.     2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 55ms pipe 2   
  8.     # 但是路由是存在的!   
  9.     $ ip route   
  10.     172.18.0.0/16 dev ceth1 proto kernel scope link src 172.18.0.20   
  11.     # 離開(kāi) netns1  
  12.     $ exit    
  13.     # 從 root 命名空間無(wú)法連通 netns1   
  14.     $ ping -c 2 172.18.0.20   
  15.     PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.   
  16.     From 172.18.0.11 icmp_seq=1 Destination Host Unreachable   
  17.     From 172.18.0.11 icmp_seq=2 Destination Host Unreachable   
  18. --- 172.18.0.20 ping statistics ---   
  19. 2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 23ms pipe 2   
  20.     # 從netns0可以連通 veth1   
  21.     $ sudo nsenter --net=/var/run/netns/netns0   
  22.     $ ping -c 2 172.18.0.21   
  23.     PING 172.18.0.21 (172.18.0.21) 56(84) bytes of data.   
  24.     64 bytes from 172.18.0.21: icmp_seq=1 ttl=64 time=0.037 ms   
  25.     64 bytes from 172.18.0.21: icmp_seq=2 ttl=64 time=0.046 ms   
  26.     --- 172.18.0.21 ping statistics ---   
  27.     2 packets transmitted, 2 received, 0% packet loss, time 33ms   
  28.     rtt min/avg/max/mdev = 0.037/0.041/0.046/0.007 ms   
  29.     # 但是仍然無(wú)法連通 netns1   
  30.     $ ping -c 2 172.18.0.20   
  31.     PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data. 
  32.     From 172.18.0.10 icmp_seq=1 Destination Host Unreachable   
  33.     From 172.18.0.10 icmp_seq=2 Destination Host Unreachable   
  34.     --- 172.18.0.20 ping statistics ---   
  35.     2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 63ms pipe 2 

暈！有地方出錯(cuò)了……netns1 有問(wèn)題。它無(wú)法連接到 root，并且從 root 命名空間里也無(wú)法訪問(wèn)到它。但是，因?yàn)閮蓚€(gè)容器都在相同的 IP 網(wǎng)段 172.18.0.0/16 里，從 netns0 容器可以訪問(wèn)到主機(jī)的 veth1。

這里花了些時(shí)間來(lái)找到原因，不過(guò)很明顯遇到的是路由問(wèn)題。先查一下 root 命名空間的路由表： 

  1. $ ip route   
  2.     # ... 忽略無(wú)關(guān)行... #   
  3.     172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11   
  4.     172.18.0.0/16 dev veth1 proto kernel scope link src 172.18.0.21 

在添加了第二個(gè) veth 對(duì)之后，root 的網(wǎng)絡(luò)棧知道了新路由 172.18.0.0/16 dev veth1 proto kernel scope link src 172.18.0.21，但是之前已經(jīng)存在該網(wǎng)絡(luò)的路由了。當(dāng)?shù)诙€(gè)容器嘗試 ping veth1 時(shí)，選中的是第一個(gè)路由規(guī)則，這導(dǎo)致網(wǎng)絡(luò)無(wú)法連通。如果我們刪除第一個(gè)路由 sudo ip route delete 172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11，然后重新檢查連通性，應(yīng)該就沒(méi)有問(wèn)題了。netns1 可以連通，但是 netns0 就不行了。

如果我們?yōu)?netns1 選擇其他的網(wǎng)段，應(yīng)該就都可以連通。但是，多個(gè)容器在同一個(gè) IP 網(wǎng)段上應(yīng)該是合理的使用場(chǎng)景。因此，我們需要調(diào)整 veth 方案。

別忘了還有 Linux 網(wǎng)橋——另一種虛擬化網(wǎng)絡(luò)技術(shù)！Linux 網(wǎng)橋作用類似于網(wǎng)絡(luò) switch。它會(huì)在連接到其上的接口間轉(zhuǎn)發(fā)網(wǎng)絡(luò)包。并且因?yàn)樗?switch，它是在 L2 層完成這些轉(zhuǎn)發(fā)的。

試試這個(gè)工具。但是首先，需要清除已有設(shè)置，因?yàn)橹暗囊恍┡渲矛F(xiàn)在不再需要了。刪除網(wǎng)絡(luò)命名空間： 

  1. $ sudo ip netns delete netns0   
  2. $ sudo ip netns delete netns1   
  3. $ sudo ip link delete veth0   
  4. $ sudo ip link delete ceth0   
  5. $ sudo ip link delete veth1   
  6. $ sudo ip link delete ceth1 

快速重建兩個(gè)容器。注意，我們沒(méi)有給新的veth0和veth1設(shè)備分配任何IP地址： 

  1. $ sudo ip netns add netns0   
  2. $ sudo ip link add veth0 type veth peer name ceth0   
  3. $ sudo ip link set veth0 up   
  4. $ sudo ip link set ceth0 netns netns0   
  5. $ sudo nsenter --net=/var/run/netns/netns0   
  6. $ ip link set lo up   
  7. $ ip link set ceth0 up   
  8. $ ip addr add 172.18.0.10/16 dev ceth0   
  9. $ exit   
  10. $ sudo ip netns add netns1   
  11. $ sudo ip link add veth1 type veth peer name ceth1  
  12. $ sudo ip link set veth1 up   
  13. $ sudo ip link set ceth1 netns netns1   
  14. $ sudo nsenter --net=/var/run/netns/netns1   
  15. $ ip link set lo up   
  16. $ ip link set ceth1 up   
  17. $ ip addr add 172.18.0.20/16 dev ceth1  
  18. $ exit 

確保主機(jī)上沒(méi)有新的路由： 

  1. $ ip route   
  2. default via 10.0.2.2 dev eth0 proto dhcp metric 100   
  3. 10.0.2.0/24 dev eth0 proto kernel scope link src 10.0.2.15 metric 100 

最后創(chuàng)建網(wǎng)橋接口： 

  1. $ sudo ip link add br0 type bridge   
  2. $ sudo ip link set br0 up 

將veth0和veth1接到網(wǎng)橋上： 

  1. $ sudo ip link set veth0 master br0   
  2. $ sudo ip link set veth1 master br0 

檢查容器間的連通性： 

  1. $ sudo nsenter --net=/var/run/netns/netns0   
  2. $ ping -c 2 172.18.0.20   
  3. PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.  
  4. 64 bytes from 172.18.0.20: icmp_seq=1 ttl=64 time=0.259 ms   
  5. 64 bytes from 172.18.0.20: icmp_seq=2 ttl=64 time=0.051 ms   
  6. --- 172.18.0.20 ping statistics ---   
  7. 2 packets transmitted, 2 received, 0% packet loss, time 2ms   
  8. rtt min/avg/max/mdev = 0.051/0.155/0.259/0.104 ms  
  9. $ sudo nsenter --net=/var/run/netns/netns1   
  10. $ ping -c 2 172.18.0.10   
  11. PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.   
  12. 64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.037 ms  
  13. 64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.089 ms   
  14. --- 172.18.0.10 ping statistics ---   
  15. 2 packets transmitted, 2 received, 0% packet loss, time 36ms   
  16. rtt min/avg/max/mdev = 0.037/0.063/0.089/0.026 ms 

太好了！工作得很好。用這種新方案，我們根本不需要配置 veth0 和 veth1。只需要在 ceth0 和 ceth1 端點(diǎn)分配兩個(gè) IP 地址。但是因?yàn)樗鼈兌歼B接在相同的 Ethernet上（記住，它們連接到虛擬 switch上），之間在 L2 層是連通的： 

  1. $ sudo nsenter --net=/var/run/netns/netns0   
  2. $ ip neigh   
  3. 172.18.0.20 dev ceth0 lladdr 6e:9c:ae:02:60:de STALE   
  4. $ exit   
  5. $ sudo nsenter --net=/var/run/netns/netns1   
  6. $ ip neigh   
  7. 172.18.0.10 dev ceth1 lladdr 66:f3:8c:75:09:29 STALE   
  8. $ exit 

太好了，我們學(xué)習(xí)了如何將容器變成友鄰，讓它們互不干擾，但是又可以連通。

連接外部世界（ IP 路由和地址偽裝（masquerading））

容器間可以通信。但是它們能和主機(jī)，比如root命名空間，通信嗎？ 

  1. $ sudo nsenter --net=/var/run/netns/netns0   
  2. $ ping 10.0.2.15 # eth0 address   
  3. connect: Network is unreachable 

這里很明顯，netns0 沒(méi)有路由： 

  1. $ ip route   
  2. 172.18.0.0/16 dev ceth0 proto kernel scope link src 172.18.0.10  

root 命名空間不能和容器通信： 

  1. # 首先使用 exit 離開(kāi)netns0:   
  2. $ ping -c 2 172.18.0.10   
  3. PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.   
  4. From 213.51.1.123 icmp_seq=1 Destination Net Unreachable   
  5. From 213.51.1.123 icmp_seq=2 Destination Net Unreachable   
  6. --- 172.18.0.10 ping statistics ---   
  7. 2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 3ms   
  8. $ ping -c 2 172.18.0.20   
  9. PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.   
  10. From 213.51.1.123 icmp_seq=1 Destination Net Unreachable   
  11. From 213.51.1.123 icmp_seq=2 Destination Net Unreachable   
  12. --- 172.18.0.20 ping statistics ---   
  13. 2 packets transmitted, 0 received, +2 errors, 100% packet loss, time 3ms 

要建立 root 和容器命名空間的連通性，我們需要給網(wǎng)橋網(wǎng)絡(luò)接口分配 IP 地址： 

  1. $ sudo ip addr add 172.18.0.1/16 dev br0 

一旦給網(wǎng)橋網(wǎng)絡(luò)接口分配了 IP 地址，在主機(jī)的路由表里就會(huì)多一條路由： 

  1. $ ip route   
  2. # ...忽略無(wú)關(guān)行 ...   
  3. 172.18.0.0/16 dev br0 proto kernel scope link src 172.18.0.1   
  4. $ ping -c 2 172.18.0.10   
  5. PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.   
  6. 64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.036 ms   
  7. 64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.049 ms   
  8. --- 172.18.0.10 ping statistics ---   
  9. 2 packets transmitted, 2 received, 0% packet loss, time 11ms   
  10. rtt min/avg/max/mdev = 0.036/0.042/0.049/0.009 ms   
  11. $ ping -c 2 172.18.0.20   
  12. PING 172.18.0.20 (172.18.0.20) 56(84) bytes of data.   
  13. 64 bytes from 172.18.0.20: icmp_seq=1 ttl=64 time=0.059 ms   
  14. 64 bytes from 172.18.0.20: icmp_seq=2 ttl=64 time=0.056 ms   
  15. --- 172.18.0.20 ping statistics ---   
  16. 2 packets transmitted, 2 received, 0% packet loss, time 4ms   
  17. rtt min/avg/max/mdev = 0.056/0.057/0.059/0.007 ms 

容器可能也可以 ping 網(wǎng)橋接口，但是它們還是無(wú)法連接到主機(jī)的 eth0。需要為容器添加默認(rèn)的路由： 

  1. $ sudo nsenter --net=/var/run/netns/netns0   
  2. $ ip route add default via 172.18.0.1   
  3. $ ping -c 2 10.0.2.15   
  4. PING 10.0.2.15 (10.0.2.15) 56(84) bytes of data.   
  5. 64 bytes from 10.0.2.15: icmp_seq=1 ttl=64 time=0.036 ms   
  6. 64 bytes from 10.0.2.15: icmp_seq=2 ttl=64 time=0.053 ms   
  7. --- 10.0.2.15 ping statistics ---   
  8. 2 packets transmitted, 2 received, 0% packet loss, time 14ms   
  9. rtt min/avg/max/mdev = 0.036/0.044/0.053/0.010 ms  
  10.      # 為`netns1`也做上述配置 

這個(gè)改動(dòng)基本上把主機(jī)變成了路由，并且網(wǎng)橋接口變成了容器間的默認(rèn)網(wǎng)關(guān)。

很好，我們將容器連接到 root 命名空間上?，F(xiàn)在，繼續(xù)嘗試將它們連接到外部世界。Linux 上默認(rèn) disable 了網(wǎng)絡(luò)包轉(zhuǎn)發(fā)（比如，路由功能）。我們需要先啟用這個(gè)功能： 

  1. # 在 root 命名空間   
  2. sudo bash -c 'echo 1 > /proc/sys/net/ipv4/ip_forward'  

再次檢查連通性： 

  1. $ sudo nsenter --net=/var/run/netns/netns0   
  2. $ ping 8.8.8.8  
  3. # hung住了... 

還是不工作。哪里弄錯(cuò)了呢？如果容器可以向外部發(fā)包，那么目標(biāo)服務(wù)器無(wú)法將包發(fā)回容器，因?yàn)槿萜鞯腎P地址是私有的，那個(gè)特定 IP 的路由規(guī)則只有本地網(wǎng)絡(luò)知道。并且有很多容器共享的是完全相同的私有IP地址 172.18.0.10。這個(gè)問(wèn)題的解決方法稱為網(wǎng)絡(luò)地址翻譯（NAT）。在到達(dá)外部網(wǎng)絡(luò)之前，容器發(fā)出的包會(huì)將源IP地址替換為主機(jī)的外部網(wǎng)絡(luò)地址。主機(jī)還會(huì)跟蹤所有已有的映射，會(huì)在將包轉(zhuǎn)發(fā)回容器之前恢復(fù)之前被替換的 IP 地址。聽(tīng)上去很復(fù)雜，但是有一個(gè)好消息！iptables 模塊讓我們只需要一條命令就可以完成這一切： 

  1. $ sudo iptables -t nat -A POSTROUTING -s 172.18.0.0/16 ! -o br0 -j MASQUERADE 

命令非常簡(jiǎn)單。在 nat 表里添加了一條 POSTROUTING chain 的新路由，會(huì)替換偽裝所有源于 172.18.0.0/16 網(wǎng)絡(luò)的包，但是不通過(guò)網(wǎng)橋接口。

檢查連通性： 

  1. $ sudo nsenter --net=/var/run/netns/netns0   
  2. $ ping -c 2 8.8.8.8 PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.   
  3. 64 bytes from 8.8.8.8: icmp_seq=1 ttl=61 time=43.2 ms   
  4. 64 bytes from 8.8.8.8: icmp_seq=2 ttl=61 time=36.8 ms   
  5. --- 8.8.8.8 ping statistics ---   
  6. 2 packets transmitted, 2 received, 0% packet loss, time 2ms   
  7. rtt min/avg/max/mdev = 36.815/40.008/43.202/3.199 ms 

要知道這里我們用的默認(rèn)策略——允許所有流量，這在真實(shí)的環(huán)境里是非常危險(xiǎn)的。主機(jī)的默認(rèn) iptables 策略是ACCEPT： 

  1. sudo iptables -S   
  2. -P INPUT ACCEPT   
  3. -P FORWARD ACCEPT   
  4. -P OUTPUT ACCEPT 

Docker 默認(rèn)限制所有流量，隨后僅僅為已知的路徑啟用路由。

如下是在 CentOS 8 機(jī)器上，單個(gè)容器暴露了端口 5005 時(shí)，由 Docker daemon 生成的規(guī)則： 

  1. $ sudo iptables -t filter --list-rules   
  2. -P INPUT ACCEPT   
  3. -P FORWARD DROP   
  4. -P OUTPUT ACCEPT   
  5. -N DOCKER   
  6. -N DOCKER-ISOLATION-STAGE-1   
  7. -N DOCKER-ISOLATION-STAGE-2   
  8. -N DOCKER-USER   
  9. -A FORWARD -j DOCKER-USER   
  10. -A FORWARD -j DOCKER-ISOLATION-STAGE-1   
  11. -A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT  
  12. -A FORWARD -o docker0 -j DOCKER   
  13. -A FORWARD -i docker0 ! -o docker0 -j ACCEPT   
  14. -A FORWARD -i docker0 -o docker0 -j ACCEPT   
  15. -A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 5000 -j ACCEPT   
  16. -A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2   
  17. -A DOCKER-ISOLATION-STAGE-1 -j RETURN   
  18. -A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP   
  19. -A DOCKER-ISOLATION-STAGE-2 -j RETURN   
  20. -A DOCKER-USER -j RETURN   
  21. $ sudo iptables -t nat --list-rules   
  22. -P PREROUTING ACCEPT   
  23. -P INPUT ACCEPT   
  24. -P POSTROUTING ACCEPT   
  25. -P OUTPUT ACCEPT   
  26. -N DOCKER   
  27. -A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER   
  28. -A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE   
  29. -A POSTROUTING -s 172.17.0.2/32 -d 172.17.0.2/32 -p tcp -m tcp --dport 5000 -j MASQUERADE  
  30. -A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER   
  31. -A DOCKER -i docker0 -j RETURN   
  32. -A DOCKER ! -i docker0 -p tcp -m tcp --dport 5005 -j DNAT --to-destination 172.17.0.2:5000   
  33. $ sudo iptables -t mangle --list-rules   
  34. -P PREROUTING ACCEPT   
  35. -P INPUT ACCEPT   
  36. -P FORWARD ACCEPT   
  37. -P OUTPUT ACCEPT  
  38.  -P POSTROUTING ACCEPT   
  39. $ sudo iptables -t raw --list-rules   
  40. -P PREROUTING ACCEPT   
  41. -P OUTPUT ACCEPT 

讓外部世界可以訪問(wèn)容器（端口發(fā)布）

大家都知道可以將容器端口發(fā)布給一些（或者所有）主機(jī)的接口。但是端口發(fā)布到底是什么意思呢？

假設(shè)容器內(nèi)運(yùn)行著服務(wù)器： 

  1. $ sudo nsenter --net=/var/run/netns/netns0   
  2. $ python3 -m http.server --bind 172.18.0.10 5000 

如果我們?cè)囍鴱闹鳈C(jī)上發(fā)送一個(gè)HTTP請(qǐng)求到這個(gè)服務(wù)器，一切都工作得很好（root命名空間和所有容器接口之間有鏈接，當(dāng)然可以連接成功）： 

  1. # 從 root 命名空間   
  2. $ curl 172.18.0.10:5000   
  3. <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN"  "http://www.w3.org/TR/html4/strict.dtd">   
  4. # ... 忽略無(wú)關(guān)行 ... 

但是，如果要從外部訪問(wèn)這個(gè)服務(wù)器，應(yīng)該使用哪個(gè)IP呢？我們知道的唯一 IP 是主機(jī)的外部接口地址 eth0： 

  1. $ curl 10.0.2.15:5000   
  2. curl: (7) Failed to connect to 10.0.2.15 port 5000: Connection refused  

因此，我們需要找到方法，能夠?qū)⒌竭_(dá)主機(jī) eth0 5000端口的所有包轉(zhuǎn)發(fā)到目的地 172.18.0.10:5000。又是i ptables來(lái)幫忙！ 

  1. # 外部流量    
  2.     sudo iptables -t nat -A PREROUTING -d 10.0.2.15 -p tcp -m tcp --dport 5000 -j DNAT --to-destination 172.18.0.10:5000   
  3.     # 本地流量 (因?yàn)樗鼪](méi)有通過(guò) PREROUTING chain)   
  4.     sudo iptables -t nat -A OUTPUT -d 10.0.2.15 -p tcp -m tcp --dport 5000 -j DNAT --to-destination 172.18.0.10:5000  

另外，需要讓iptables能夠在橋接網(wǎng)絡(luò)上截獲流量：

  1. sudo modprobe br_netfilter 

測(cè)試： 

  1. curl 10.0.2.15:5000   
  2. <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN"  "http://www.w3.org/TR/html4/strict.dtd">  
  3.       # ... 忽略無(wú)關(guān)行 ... 

理解 Docker 網(wǎng)絡(luò)驅(qū)動(dòng)

我們可以怎么使用這些知識(shí)呢？比如，可以試著理解 Docke r網(wǎng)絡(luò)模式[1]。

從 --network host 模式開(kāi)始。試著比較一下命令 ip link 和 sudo docker run -it --rm --network host alpine ip link 的輸出。它們幾乎一樣！在 host 模式下，Docker 簡(jiǎn)單地沒(méi)有使用網(wǎng)絡(luò)命名空間隔離，容器就在 root 網(wǎng)絡(luò)命名空間里工作，并且和主機(jī)共享網(wǎng)絡(luò)棧。

下一個(gè)模式是--network none。sudo docker run -it --rm --network host alpine ip link 的輸出只有一個(gè)  loopback 網(wǎng)絡(luò)接口。這和之前創(chuàng)建的網(wǎng)絡(luò)命名空間，沒(méi)有添加 veth 設(shè)備前很相似。

最后是 --network bridge（默認(rèn)）模式。這正是我們前文嘗試創(chuàng)建的模式。大家可以試試ip 和iptables命令，分別從主機(jī)和容器的角度觀察一下網(wǎng)絡(luò)棧。

rootless 容器和網(wǎng)絡(luò)

Podman 容器管理器的一個(gè)很好的特性是關(guān)注于 rootless 容器。但是，你可能注意到，本文使用了很多 sudo 命令。說(shuō)明，沒(méi)有 root 權(quán)限無(wú)法配置網(wǎng)絡(luò)。Podman 在 root 網(wǎng)絡(luò)上的方案[2] 和Docker非常相似。但是在 rootless 容器上，Podman 使用了  slirp4netns[3] 項(xiàng)目：

從 Linux 3.8 開(kāi)始，非特權(quán)用戶可以創(chuàng)建 user_namespaces(7) 的同時(shí)創(chuàng)建 network_namespaces(7)。但是，非特權(quán)網(wǎng)絡(luò)命名空間并不是很有用，因?yàn)樵谥鳈C(jī)和網(wǎng)絡(luò)命名空間之間創(chuàng)建 veth(4) 仍然需要root權(quán)限

slirp4netns 可以用完全非特權(quán)的方式將網(wǎng)絡(luò)命名空間連接到 Internet 上，通過(guò)網(wǎng)絡(luò)命名空間里的一個(gè)TAP設(shè)備連接到用戶態(tài)的TCP/IP棧（slirp）。

rootless 網(wǎng)絡(luò)是很有限的：“從技術(shù)上說(shuō)，容器本身沒(méi)有 IP 地址，因?yàn)闆](méi)有 root 權(quán)限，無(wú)法實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的關(guān)聯(lián)。另外，從 rootless 容器 ping 是不會(huì)工作的，因?yàn)樗鄙?CAP_NET_RAW 安全能力，而這是 ping 命令必需的。”但是它仍然比完全沒(méi)有連接要好。

結(jié)論

本文介紹的組織容器網(wǎng)絡(luò)的方案僅僅是可能方案的一種（可能是最為廣泛使用的一種）。還有很多別的方式，由官方或者第三方插件實(shí)現(xiàn)，但是所有這些方案都嚴(yán)重依賴于 Linux 網(wǎng)絡(luò)虛擬化技術(shù)[4]。因此，容器化可以認(rèn)為是一種虛擬化技術(shù)。 

 

責(zé)任編輯：龐桂玉 來(lái)源： 奇妙的Linux世界
容器Linux網(wǎng)絡(luò)
相關(guān)推薦

2022-02-11 20:45:42

HTTPHTTPS協(xié)議

2020-12-14 10:15:03

負(fù)載均衡器Linux服務(wù)器

2021-12-01 09:48:34

Kubernetes 網(wǎng)絡(luò)插件Linux

2022-06-11 18:15:26

KubernetesDockerLinux

2022-06-13 11:05:35

RocketMQ消費(fèi)者線程

2022-07-11 11:06:11

RocketMQ函數(shù).消費(fèi)端

2022-05-18 08:45:25

Nginx網(wǎng)絡(luò)代碼

2021-10-22 09:28:15

開(kāi)發(fā)技能代碼

2021-01-28 10:55:47

Kubernetes IPLinux

2022-06-27 11:04:24

RocketMQ順序消息

2021-11-08 15:12:48

排序算法面試

2019-07-24 08:49:36

Docker容器鏡像

2022-07-18 14:45:22

Kubernetes暴露方案

2025-03-13 06:22:59

2021-12-27 10:25:55

CNI插件Linux

2020-06-28 07:39:44

Kafka分布式消息

2022-10-20 08:31:33

加鎖解鎖代碼

2022-05-09 11:15:05

RocketMQPULL 模式PUSH 模式

2022-02-12 11:00:33

FTP網(wǎng)絡(luò)協(xié)議文件傳輸

2021-11-12 08:38:26

一致性哈希算法數(shù)據(jù)結(jié)構(gòu)
點(diǎn)贊
收藏

51CTO技術(shù)棧公眾號(hào)

主站蜘蛛池模板： 久久久中文 | 国产在线一区二区 | 欧美日韩精品亚洲 | 日韩二区三区 | 91在线精品一区二区 | 欧美亚洲国产日韩 | 青青草久久 | 精品久久久久国产免费第一页 | 欧美一级黄带 | 欧美日韩福利 | 一区二区视频免费观看 | 成人欧美一区二区三区白人 | 欧美午夜精品 | 久久精品一区二 | 久久精品国产一区二区电影 | 日本特黄a级高清免费大片 国产精品久久性 | 日本一区二区高清不卡 | 91精品一区二区三区久久久久 | 自拍中文字幕 | 亚洲日韩中文字幕一区 | 日本精品一区 | 91久久久久久久久 | 国产 日韩 欧美 制服 另类 | 精品久久久久久亚洲综合网 | 91免费电影 | 四虎影院一区二区 | 欧美亚洲视频在线观看 | 久久成| 亚洲字幕在线观看 | 亚洲一区二区在线 | 日本免费黄色一级片 | 国产电影一区 | 亚洲成人午夜电影 | 夜夜夜久久 | jizz在线看片 | 九九九视频精品 | 日韩中文字幕一区二区 | 国产精品久久久久一区二区三区 | 欧美日韩a| 亚洲天堂免费在线 | 亚洲在线一区 |