本篇文章我們將講解跨主機網(wǎng)絡(luò)的容器通信實現(xiàn)，涉及到Docker overlay網(wǎng)絡(luò)與MacVlan網(wǎng)絡(luò)的解決方案，下面我們就一起來學(xué)習(xí)吧!

[[348530]]

01 Docker跨主機網(wǎng)絡(luò)通信

跨主機的容器網(wǎng)絡(luò)方案主要有如下幾種：

1)docker原生方案macvlan與overlay網(wǎng)絡(luò)

2)第三方方案如flannel、calico、contiv等

本章節(jié)我們主要介紹容器的原生網(wǎng)絡(luò)方案，因為每一個第三方的方案都可以用一篇文章進(jìn)行講解，如果讀者們對第三方方案感興趣請在文章下面留言，小編會結(jié)合讀者們的需求進(jìn)行講解。

02 容器網(wǎng)絡(luò)模型與網(wǎng)絡(luò)庫

容器之所以有這么多的網(wǎng)絡(luò)解決方案，全依仗著容器的優(yōu)秀架構(gòu)設(shè)計。docker通過libnetwork網(wǎng)絡(luò)庫與CNM網(wǎng)絡(luò)模型將眾多的網(wǎng)段方案與docker進(jìn)行集成。libnetwork是網(wǎng)絡(luò)網(wǎng)絡(luò)庫其最核心作用是定義了容器網(wǎng)絡(luò)模型(CNM)，該網(wǎng)絡(luò)模型主要由三個組件構(gòu)成具體如下：

1)Sandbox

Sandbox是容器網(wǎng)絡(luò)棧，Sandbox通過linux namespace技術(shù)實現(xiàn)容器不同網(wǎng)絡(luò)的隔離。Sandbox可以包含來自不同網(wǎng)絡(luò)的Endpoint。

2)Endpoint

Endpoint表示容器接入網(wǎng)絡(luò)的端點，其作用是將Sandbox接入網(wǎng)絡(luò)。Endpoint只能屬于一個網(wǎng)絡(luò)同時也只能屬于一個Sandbox。

3)Network

代表一組可以直接相互通信的Endpoint集合，可以基于LinuxBridge或者VLAN實現(xiàn)。

如上圖是典型的Docker CNM模型圖，每個容器一個Sandbox，Sandbox通過Endpoint與Netwrok互連，其中Endpoint就是由linux的veth pair實現(xiàn)的，一端連接linux bridge上一端掛載在容器內(nèi)(如eth0網(wǎng)卡)，正由于有了該規(guī)范模型，只要網(wǎng)絡(luò)插件符合該模型就可以與docker daemon進(jìn)行協(xié)同工作，從而實現(xiàn)容器網(wǎng)絡(luò)。

03 Docker overlay網(wǎng)絡(luò)

Docker原生就提供了Overlay網(wǎng)絡(luò)driver，使用該驅(qū)動可以創(chuàng)建基于Vxlan的Overlay網(wǎng)絡(luò)。Vxlan網(wǎng)絡(luò)可將二層的數(shù)據(jù)封裝到UDP報文中進(jìn)行傳輸，從而實現(xiàn)了通過三層網(wǎng)絡(luò)透傳二層數(shù)據(jù)報文，VXLAN協(xié)議是目前使用比較廣的一個網(wǎng)絡(luò)協(xié)議，由于本篇文章的重點不在該協(xié)議如果大家感興趣可以文章后面留言，若有需求我們會在后面單獨出一篇文章來寫Vxlan。

Docker Overlay網(wǎng)絡(luò)需要一個key-value的數(shù)據(jù)庫用于保存網(wǎng)絡(luò)狀態(tài)信息包括network、Endpoint、IP等。consul、etcd及zookeeper都是docker支持的key-value存儲的軟件。

我們先來看看我們overlay的實驗環(huán)境拓?fù)?，本次實驗我們使用consul作為key-value存儲軟件。

現(xiàn)在我們來看看怎么搭建這個實驗吧

1)首先我們將兩臺主機的docker.service文件的ExecStart=命令后增加指向consul的配置參數(shù)，具體操作如下(本次實驗是兩臺centos7.5系統(tǒng)的主機)

增加好配置參數(shù)后，我們重啟docker服務(wù)具體命令如下

1. # 重啟docker服務(wù)   
2.  systemctl daemon-reload && systemctl restart docker   

2)接著我們安裝consul軟件，我們將其部署在172.17.0.3這臺主機上，以容器方式進(jìn)行部署，容器的網(wǎng)絡(luò)使用host，這樣可以將該軟件所有啟動的網(wǎng)絡(luò)接口都在主機上進(jìn)行暴露，具體操作命令如下

1. # 啟動consul容器   
2.  docker run -d --network host -h consul --name=consul \   
3.  --restart=always -e CONSUL_BIND_INTERFACE=eth0 consul:1.5.2   

consul啟動完我們查看它所啟動的接口

我們在瀏覽器輸入其地址端口號8500即可登錄consul的頁面具體如下

其實這時我們點擊key/value菜單就可以查看我們注冊到consul的兩臺主機了

3)現(xiàn)在我們在host1的主機上創(chuàng)建overlay網(wǎng)絡(luò)具體操作如下

1. # 創(chuàng)建容器overlay網(wǎng)絡(luò)ov_net1   
2.   docker network create -d overlay ov_net1   

其實當(dāng)你在host1主機上創(chuàng)建好ov_net1的網(wǎng)絡(luò)consul會自動將該網(wǎng)絡(luò)信息同步至host2主機上，我們再host2主機進(jìn)行驗證一下

4)我們在主機host1上創(chuàng)建容器test1，同時網(wǎng)絡(luò)設(shè)置為ov_net1，具體操作如下

1. # 創(chuàng)建容器test1,并將網(wǎng)絡(luò)指定為ov_net1   
2.   docker run -itd --name test1 --hostname test1 --network ov_net1 busybox   

其實在我們創(chuàng)建容器test1后，docker會自動創(chuàng)建一個docker_gwbridge的bridge網(wǎng)絡(luò)，該網(wǎng)絡(luò)用于我們上圖所說的eth1網(wǎng)卡，從而能夠讓容器能夠訪問外部網(wǎng)絡(luò)

我們再看一下test1容器的路由信息，可以發(fā)現(xiàn)其默認(rèn)路由直接指向了eth1接口，同時ping外網(wǎng)也確實能夠ping通

5)最后我們在host2主機上創(chuàng)建test2容器，也指定其網(wǎng)絡(luò)為ov_net1，然后驗證test1與test2是否能夠互訪

如上圖我們在host2主機上成功創(chuàng)建了test2容器，同時其也自動配置了兩個網(wǎng)卡接口一個用于連接overlay網(wǎng)絡(luò)一個用于連接外部網(wǎng)絡(luò)。現(xiàn)在我們測試一下test2容器是否能夠ping通test1容器，具體操作如下

測試發(fā)現(xiàn)test2容器確實可以ping通test1容器，同時還實現(xiàn)了DNS功能，主動把test1容器的名稱映射其對應(yīng)的IP 10.0.0.2。

下面我們來看看overlay網(wǎng)絡(luò)能夠連通的具體邏輯，docker會為每個overlay網(wǎng)絡(luò)創(chuàng)建一個獨立的namespace，在namespace中會創(chuàng)建一個br0的網(wǎng)橋，其上有兩組endpoint，一組endpoint的一端連br0一端連容器的eth0口，另外一組endponit的一端連br0另外一段連vxlan接口，該接口用于主機間建立vxlan tunnel，不同主機上的容器就是通過該tunnel進(jìn)行通信的，具體架構(gòu)圖如下：

04 Docker MacVlan網(wǎng)絡(luò)

Macvlan其實是linux系統(tǒng)自帶技術(shù)允許你在物理網(wǎng)卡上創(chuàng)建子接口，創(chuàng)建的這些子接口每個都有自己的唯一MAC地址，同時你也可以在這些子接口上配置IP，然后可以將應(yīng)用程序、虛機及容器綁定到指定的子接口，從而實現(xiàn)自己的MAC與IP直接連接到物理網(wǎng)絡(luò)，Macvlan的最大優(yōu)點是性能比較好，缺點是許多nic對mac地址數(shù)量有限制。Macvlan具體架構(gòu)具體如下圖：

由于Macvlan在生產(chǎn)環(huán)境中部署較少，我們本篇文章就不做實驗進(jìn)行演示了，我們在這展示一下其創(chuàng)建的具體命令，感興趣的可以按照下面命令自己來搭環(huán)境測試。

1. # 創(chuàng)建macvlan網(wǎng)絡(luò)mv_net1，其中parent=eth0是指定macvlan網(wǎng)絡(luò)使用的接口

2. docker network create -d macvlan -o parent=eth0 mv_net1

3. # 創(chuàng)建容器test3指定其網(wǎng)絡(luò)為mv_net1的macvlan網(wǎng)絡(luò)

4. docker run -d --name test3 --network mv_net1 busybox