桥接网络驱动程序

在网络方面，桥接网络是一个链路层设备，它在网络段之间转发流量。桥接可以是硬件设备，也可以是运行在主机内核中的软件设备。

在Docker方面，桥接网络使用软件桥接，允许连接到同一桥接网络的容器进行通信，同时提供与未连接到该桥接网络的容器的隔离。Docker桥接驱动程序会自动在主机中安装规则，以便不同桥接网络上的容器无法直接相互通信。

桥接网络适用于运行在同一Docker守护进程主机上的容器。对于在不同Docker守护进程主机上运行的容器之间的通信，您可以管理操作系统级别的路由，也可以使用overlay网络。

启动Docker时，会自动创建一个默认桥接网络（也称为bridge），除非另行指定，否则新启动的容器将连接到它。您还可以创建用户定义的自定义桥接网络。**用户定义的桥接网络优于默认的bridge网络。**

用户定义的桥接和默认桥接之间的区别

• 用户定义的桥接提供容器之间的自动DNS解析.

  默认桥接网络上的容器只能通过IP地址相互访问，除非您使用--link选项，该选项被认为是旧的。在用户定义的桥接网络上，容器可以通过名称或别名相互解析。

  假设一个应用程序具有Web前端和数据库后端。如果您将容器命名为web和db，则web容器可以连接到db处的db容器，无论应用程序堆栈运行在哪个Docker主机上。

  如果您在默认桥接网络上运行相同的应用程序堆栈，则需要手动创建容器之间的链接（使用旧的--link标志）。这些链接需要双向创建，因此您可以看到，当需要通信的容器超过两个时，这会变得很复杂。或者，您可以操作容器内的/etc/hosts文件，但这会产生难以调试的问题。

• 用户定义的桥接提供更好的隔离.

  所有未指定--network的容器都附加到默认桥接网络。这可能存在风险，因为不相关的堆栈/服务/容器能够进行通信。

  使用用户定义的网络提供一个范围网络，只有附加到该网络的容器才能进行通信。

• 容器可以动态地附加到用户定义的网络和从用户定义的网络分离.

  在容器的生命周期中，您可以动态地将它连接到用户定义的网络或从用户定义的网络断开连接。要从默认桥接网络中移除容器，您需要停止容器并使用不同的网络选项重新创建它。

• 每个用户定义的网络都会创建一个可配置的桥接.

  如果您的容器使用默认桥接网络，您可以配置它，但所有容器都使用相同的设置，例如MTU和iptables规则。此外，默认桥接网络的配置发生在Docker本身之外，并且需要重启Docker。

  用户定义的桥接网络是使用docker network create创建和配置的。如果不同组的应用程序具有不同的网络需求，您可以在创建时分别配置每个用户定义的桥接。

• 默认桥接网络上的链接容器共享环境变量.

  最初，在两个容器之间共享环境变量的唯一方法是使用--link标志将它们链接起来。这种类型的变量共享在用户定义的网络中是不可能的。但是，有更好的方法来共享环境变量。一些想法

  • 多个容器可以使用Docker卷挂载包含共享信息的文 件或目录。

  • 可以使用docker-compose一起启动多个容器，并且compose文件可以定义共享变量。

  • 您可以使用Swarm服务而不是独立容器，并利用共享的密钥和配置。

连接到同一用户定义桥接网络的容器有效地将所有端口相互公开。为了使端口可访问不同网络上的容器或非Docker主机，必须使用-p或--publish标志发布该端口。

选项

下表描述了在使用bridge驱动程序创建自定义网络时，您可以传递到--option的驱动程序特定选项。

其中一些选项也可以作为dockerd CLI 的标志使用，您可以用它们在启动Docker守护进程时配置默认的docker0桥接。下表显示了哪些选项在dockerd CLI中具有等效标志。

Docker守护进程支持一个--bridge标志，您可以用它来定义您自己的docker0桥接。如果您想在同一主机上运行多个守护进程实例，请使用此选项。详情请参见运行多个守护进程。

默认主机绑定地址

当在端口发布选项（如-p 80或-p 8080:80）中未给出主机地址时，默认情况下，容器的80端口将在所有主机地址（IPv4和IPv6）上可用。

桥接网络驱动程序选项com.docker.network.bridge.host_binding_ipv4可用于修改已发布端口的默认地址。

尽管选项名称如此，但可以指定IPv6地址。

当默认绑定地址是分配给特定接口的地址时，容器的端口只能通过该地址访问。

将默认绑定地址设置为::意味着已发布端口仅在主机的IPv6地址上可用。但是，将其设置为0.0.0.0意味着它将在主机的IPv4和IPv6地址上可用。

要将已发布端口限制为仅IPv4，必须在容器的发布选项中包含该地址。例如，-p 0.0.0.0:8080:80。

管理用户定义的桥接

使用docker network create命令创建用户定义的桥接网络。

$ docker network create my-net

您可以指定子网、IP地址范围、网关和其他选项。有关详细信息，请参阅docker network create参考或docker network create --help的输出。

使用docker network rm命令删除用户定义的桥接网络。如果容器当前已连接到网络，请先断开连接。

$ docker network rm my-net

实际发生了什么？

创建或删除用户定义的桥接，或连接或断开用户定义桥接的容器时，Docker 使用特定于操作系统的工具来管理底层网络基础设施（例如，在 Linux 上添加或删除桥接设备或配置iptables规则）。这些细节应被视为实现细节。让Docker为您管理用户定义的网络。

将容器连接到用户定义的桥接

创建新容器时，您可以指定一个或多个--network标志。此示例将Nginx容器连接到my-net网络。它还将容器中的80端口发布到Docker主机上的8080端口，以便外部客户端可以访问该端口。连接到my-net网络的任何其他容器都可以访问my-nginx容器上的所有端口，反之亦然。

$ docker create --name my-nginx \
  --network my-net \
  --publish 8080:80 \
  nginx:latest

要将正在运行的容器连接到现有的用户定义桥接，请使用docker network connect命令。以下命令将已运行的my-nginx容器连接到已存在的my-net网络。

$ docker network connect my-net my-nginx

将容器从用户定义的桥接断开连接

要将正在运行的容器从用户定义的桥接断开连接，请使用docker network disconnect命令。以下命令将my-nginx容器从my-net网络断开连接。

$ docker network disconnect my-net my-nginx

在用户定义的桥接网络中使用IPv6

创建网络时，您可以指定--ipv6标志以启用IPv6。

$ docker network create --ipv6 --subnet 2001:db8:1234::/64 my-net

使用默认桥接网络

默认的bridge网络被认为是Docker的遗留细节，不推荐用于生产环境。配置它是一个手动操作，并且它具有技术缺陷。

将容器连接到默认桥接网络

如果您没有使用--network标志指定网络，并且您确实指定了网络驱动程序，则您的容器默认情况下会连接到默认的bridge网络。连接到默认bridge网络的容器可以通信，但只能通过IP地址进行通信，除非它们使用遗留的--link标志进行链接。

配置默认桥接网络

要配置默认的bridge网络，请在daemon.json中指定选项。这是一个包含多个指定选项的daemon.json示例。仅指定您需要自定义的设置。

{
  "bip": "192.168.1.1/24",
  "fixed-cidr": "192.168.1.0/25",
  "mtu": 1500,
  "default-gateway": "192.168.1.254",
  "dns": ["10.20.1.2","10.20.1.3"]
}

重新启动Docker以使更改生效。

在默认桥接网络中使用IPv6

可以使用daemon.json中的以下选项或其命令行等效项为默认桥接启用IPv6。

这三个选项仅影响默认桥接，用户定义的网络不使用它们。下面的地址是IPv6文档范围中的示例。

• 选项ipv6是必需的
• 选项fixed-cidr-v6是必需的，它指定要使用的网络前缀。
  • 前缀通常应为/64或更短。
  • 对于本地网络上的实验，最好使用唯一本地前缀（匹配fd00::/8）而不是链接本地前缀（匹配fe80::/10）。
• 选项default-gateway-v6是可选的。如果未指定，则默认为fixed-cidr-v6子网中的第一个地址。

{
  "ipv6": true,
  "fixed-cidr-v6": "2001:db8::/64",
  "default-gateway-v6": "2001:db8:abcd::89"
}

桥接网络的连接限制

由于Linux内核设置的限制，当1000个或更多容器连接到单个网络时，桥接网络会变得不稳定，容器间通信可能会中断。

有关此限制的更多信息，请参阅moby/moby#44973。

跳过IP地址配置

com.docker.network.bridge.inhibit_ipv4选项允许您创建一个使用现有桥接的网络，并让Docker跳过配置桥接上的IPv4地址。如果您想手动配置桥接的IP地址，这将很有用。例如，如果您向桥接添加物理接口，并且需要将其IP地址移动到桥接接口。

要使用此选项，您应首先配置Docker守护进程以使用自管理桥接，方法是在daemon.json中使用bridge选项或dockerd --bridge标志。

通过此配置，除非您已手动配置桥接的IP地址，否则南北流量将无法工作。

后续步骤

• 阅读独立网络教程
• 了解从容器角度来看的网络
• 了解overlay 网络
• 了解Macvlan 网络