生产集群环境中优雅使用 Docker Network

一、核心原则

二、网络架构设计策略

1. 集群网络拓扑模型

2. 网络类型选择矩阵

三、网络实施最佳实践

1. 网络创建规范

# 创建生产网络示例
docker network create \
  --driver overlay \
  --subnet 10.5.0.0/24 \
  --gateway 10.5.0.1 \
  --opt encrypted \
  --label env=production \
  --label tier=application \
  prod-app-network

2. 多网络连接策略

# docker-compose.yml 示例
services:
  webapp:
    networks:
      - frontend-net
      - monitoring-net
      
  database:
    networks:
      - backend-net
      - monitoring-net

networks:
  frontend-net:
    driver: overlay
    ipam:
      config:
        - subnet: "10.10.1.0/24"
  backend-net:
    driver: overlay
    ipam:
      config:
        - subnet: "10.10.2.0/24"
  monitoring-net:
    driver: overlay

3. 服务发现对比

四、安全加固措施

1. 网络访问控制矩阵

2. 安全配置示例

# 创建隔离的数据库网络
docker network create \
  --driver overlay \
  --internal \  # 禁止外部访问
  --opt com.docker.network.bridge.enable_icc=false \ # 禁止容器间通信
  secure-db-network

# 添加网络级加密
docker network create \
  --opt encrypted \  # Overlay网络加密
  --opt com.docker.network.driver.mtu=1400 \  # 优化加密MTU
  secure-app-network

五、监控与诊断方案

1. 关键监控指标

2. 网络诊断工具箱

# 容器内网络诊断
docker exec -it <container> \
  sh -c "curl -I http://peer-service; dig peer-service; traceroute peer-service"

# 主机层网络检查
# 查看veth pair映射
docker inspect <container> -f "{{.NetworkSettings.SandboxKey}}"

# 检查网络连接
nsenter --net=<sandbox> netstat -tulpn
nsenter --net=<sandbox> tcpdump -i eth0 port 5432

六、多环境网络策略

环境隔离方案

七、故障处理流程

八、进阶实践技巧

1. MTU 优化

   docker network create --opt com.docker.network.driver.mtu=1400 optimized-net
   

2. 双栈网络支持

   docker network create --ipv6 --subnet=fd00::/64 dualstack-net
   

3. 网络性能调优

   # 启用高速网络选项
   docker run --network=host --ulimit nofile=100000:100000 high-perf-app
   

4. 零信任网络模型

   # Kubernetes NetworkPolicy 示例
   kind: NetworkPolicy
   spec:
     podSelector: {}
     policyTypes:
     - Ingress
     - Egress
     ingress: []
     egress: []
   

九、集群网络选择建议

关键提示：当集群规模超过50节点或需要高级网络功能时，建议迁移到Kubernetes并使用专业CNI插件（如Cilium或Calico），它们提供：

• 基于eBPF的高性能网络
• L7网络策略
• 原生Kubernetes集成
• 深度可观测性

十、总结检查清单

1. 所有服务使用自定义网络（非默认bridge）
2. 按功能分区实现网络隔离
3. 关键网络配置了加密选项
4. 实现网络策略最小权限控制
5. 建立网络监控和告警系统
6. 定期进行网络故障演练
7. 文档记录网络拓扑和IP规划
8. 自动化网络创建和清理流程

# 网络健康检查脚本示例
#!/bin/bash
for network in $(docker network ls -q); do
  echo "Checking network $(docker network inspect -f '{{.Name}}' $network)"
  docker network inspect $network | jq '.[].Containers[].IPv4Address' | uniq -c
  ping -c 2 $(docker network inspect -f '{{.IPAM.Config[0].Gateway}}' $network)
done

优雅的Docker网络实践核心是：隔离确保安全，监控保障稳定，自动化提升效率。在生产集群中，应始终将网络视为一等公民进行设计和维护。