【Docker基础】Docker网络模式：Bridge模式深度解析

• 查看示例命令

# 查看默认网桥信息：brctl show docker0
[root@node1 ~]# brctl show docker0
bridge name     bridge id               STP enabled     interfaces
docker0         8000.0242658ceef3       no
[root@node1 ~]# 

• 工作原理

# 查看SNAT规则（默认规则）
[root@node1 ~]# iptables -t nat -L POSTROUTING -n
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
MASQUERADE  all  --  172.17.0.0/16        0.0.0.0/0           
MASQUERADE  all  --  172.18.0.0/16        0.0.0.0/0           
RETURN     all  --  192.168.122.0/24     224.0.0.0/24        
RETURN     all  --  192.168.122.0/24     255.255.255.255     
MASQUERADE  tcp  --  192.168.122.0/24    !192.168.122.0/24     masq ports: 1024-65535
MASQUERADE  udp  --  192.168.122.0/24    !192.168.122.0/24     masq ports: 1024-65535
MASQUERADE  all  --  192.168.122.0/24    !192.168.122.0/24    
[root@node1 ~]#      

• DNAT（目标地址转换）：外部访问容器时，通过端口映射（如-p8080:80）将主机端口映射到容器端口，实现 "一对一" 端口转发

• 创建网桥：Docker自动创建docker0网桥，启用IP转发功能（/proc/sys/net/ipv4/ip_forward设置为 1）

[root@node1 ~]# sysctl -n net.ipv4.ip_forward
1
[root@node1 ~]# 

• 配置iptables规则：在nat表中创建DOCKER链，添加默认SNAT规则（针对172.17.0.0/16网段）

[root@node1 ~]# iptables -t nat -L DOCKER -n -v
Chain DOCKER (2 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0           
    0     0 RETURN     all  --  br-6c480d3992c5 *       0.0.0.0/0            0.0.0.0/0           
[root@node1 ~]# 

• 二层转发：容器1（172.17.0.2）访问容器2（172.17.0.3）时，通过docker0网桥直接进行MAC地址解析（ARP 协议），无需经过NAT

• 数据流向：

• SNAT 转换：容器发送的数据包到达docker0网桥后，通过POSTROUTING链的 SNAT 规则，将源 IP 替换为主机eth0的 IP（如 192.168.10.30）

• 数据流向：

• DNAT 端口映射：主机接收到外网对8080端口的请求后，通过DOCKER链的DNAT规则，将流量转发到容器的80端口

# 端口映射示例 
docker run -d -p 8080:80 --name web1 nginx

• 数据流向：

# 启动Nginx容器，使用默认Bridge网络
docker run -d -p 8081:80 --name web-container nginx
# 查看容器网络配置
docker inspect web-container | grep -i 'ipaddress'

• 输出示例

[root@node1 ~]# docker inspect web-container | grep -i 'ipaddress'
            "SecondaryIPAddresses": null,
            "IPAddress": "172.17.0.2",
                    "IPAddress": "172.17.0.2",
[root@node1 ~]# 

• 容器内访问主机：

docker exec web-container ping 172.17.0.1  # 网关（docker0）
docker exec web-container ping 192.168.10.30  # 宿主IP

• 主机访问容器：

curl http://127.0.0.1:8081 # 通过端口映射访问容器80端口

# 指定子网和网关（避免与默认网段冲突）
docker network create \
  --driver bridge \
  --subnet 192.168.20.0/24 \
  --gateway 192.168.20.1 \
  my-bridge-network

# 查看自定义网络
docker network ls
[root@node1 ~]# docker network ls|grep my-bridge-network
aea1a6fab717   my-bridge-network        bridge    local
[root@node1 ~]# 

# 启动容器时指定网络
docker run -d \
  --network my-bridge-network \
  --name web2 \
  --ip 192.168.20.2 \  # 手动指定IP（需确保未被占用）
  nginx
  
# 容器间通信（同自定义网络）
docker exec web2 ping 192.168.20.1  # 网关
docker exec web2 ping 172.17.0.2     # 无法通信（不同网桥隔离）

# 容器同时加入默认bridge和自定义网络
docker run -d \
  --network bridge \
  --network my-bridge-network \
  --name multi-net-container \
  nginx

# 查看双IP配置
docker inspect multi-net-container | grep -i 'ipaddress'

# 修改默认网桥网段（Docker守护进程配置）
vim /etc/docker/daemon.json
{
  "bip": "192.168.20.1/24"  # 自定义网段
}

# 重启Docker服务生效
systemctl restart docker

• 原理：不同网桥的容器处于不同二层网络，默认无法直接通信（需三层路由）

• 示例：

# 创建开发网和生产网
docker network create dev-network
docker network create prod-network
# 确保不同网络的容器隔离

# 禁止容器主动访问外网（仅允许入站）
iptables -t nat -A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j DROP

# 仅允许特定端口映射（如80/443）
iptables -t nat -D DOCKER -p tcp --dport 8080 -j DNAT --to-destination 172.17.0.2:80