容器网络概述（Container Networking Overview）

容器网络是容器化环境中的网络架构，为容器提供网络连接、服务发现和通信能力

容器网络概述

容器网络是指为容器提供网络连接和通信功能的网络架构和实现方案。随着容器化技术的普及，容器网络已成为云原生应用的基础设施。

容器网络需求

容器环境对网络有以下特殊需求：

隔离性：不同容器间的网络隔离
连通性：容器间及容器与外部的连接
动态性：容器的创建和销毁是动态的
可移植性：网络方案应跨平台、跨环境
服务发现：动态服务注册和发现
负载均衡：服务请求的负载均衡

容器网络模型

容器网络基本模型：
┌─────────────────────────────────────┐
│         外部网络                   │
│  ┌─────┐ ┌─────┐ ┌─────┐        │
│  │ VM  │ │ VM  │ │ VM  │  ...   │
│  │     │ │     │ │     │        │
│  │Pod A│ │Pod B│ │Pod C│        │
│  │     │ │     │ │     │        │
│  │ConA │ │ConD │ │ConF │        │
│  │ConB │ │ConE │ │ConG │  ...  │
│  └─────┘ └─────┘ └─────┘        │
└─────────────────────────────────────┘

容器网络基础概念

1. 网络命名空间（Network Namespace）

网络命名空间是Linux内核提供的一种网络隔离机制，每个命名空间有独立的网络栈。

网络命名空间组成

每个网络命名空间包含：
- 网络设备（网卡、网桥等）
- 路由表
- 防火墙规则（iptables）
- 套接字
- 网络参数

命名空间示例

# 创建网络命名空间
ip netns add container1
 
# 在命名空间中执行命令
ip netns exec container1 ip addr
 
# 删除网络命名空间
ip netns delete container1

2. 虚拟以太网设备对（Veth Pair）

Veth Pair是一种虚拟网络设备，总是成对出现，一端在一个命名空间，另一端在另一个命名空间。

Veth Pair工作原理

容器A命名空间 ← Veth Pair → 主机命名空间
     │                                  │
  eth0                              vethxxxx
     │                                  │
┌─────────┐                    ┌────────────┐
│容器A网络│                    │ 主机网络   │
└─────────┘                    └────────────┘

创建Veth Pair

# 创建Veth Pair
ip link add veth0 type veth peer name veth1
 
# 将一端放入容器命名空间
ip link set veth1 netns container1
 
# 配置IP地址
ip netns exec container1 ip addr add 10.0.0.2/24 dev veth1
ip addr add 10.0.0.1/24 dev veth0

3. 网桥（Bridge）

网桥是一种工作在数据链路层的网络设备，用于连接多个网络接口，实现数据帧的转发。

网桥工作原理

容器A eth0 ←→ 网桥 ←→ 容器B eth0
容器C eth0 ←→       ←→ 容器D eth0
     ↑              ↑             ↑
  10.0.0.2       10.0.0.1    10.0.0.3

创建网桥

# 创建网桥
ip link add br0 type bridge
 
# 启动网桥
ip link set br0 up
 
# 将接口连接到网桥
ip link set veth0 master br0
ip link set veth2 master br0

容器网络模式

1. 桥接模式（Bridge Mode）

桥接模式是最常用的容器网络模式，通过网桥连接容器。

桥接模式架构

外部网络
    │
    ▼
┌─────────────────┐
│   物理网卡     │
└─────────┬───────┘
          │
          ▼
┌─────────────────┐
│     网桥       │
│   (docker0)    │
└─────┬─────┬─────┘
      │     │
      ▼     ▼
┌─────────┐ ┌─────────┐
│ 容器A   │ │ 容器B   │
└─────────┘ └─────────┘

桥接模式特点

NAT：通过NAT访问外部网络
端口映射：需要端口映射访问容器服务
同网段通信：容器间可以直接通信
IP地址管理：自动分配IP地址

2. 主机模式（Host Mode）

主机模式下容器共享主机网络命名空间。

主机模式架构

主机网络命名空间
    │
    ├─ 容器A
    ├─ 容器B
    └─ 主机进程

主机模式特点

共享网络：容器与主机共享网络栈
直接访问：容器直接使用主机IP和端口
无隔离：网络隔离性差
性能好：网络性能好，无额外开销

3. 容器模式（Container Mode）

容器模式下新容器共享已有容器的网络命名空间。

容器模式架构

容器A网络命名空间
    │
    ├─ 容器A（主容器）
    └─ 容器B（共享网络）

容器模式特点

网络共享：多个容器共享同一网络
本地通信：通过localhost互相访问
端口共享：同一端口不能重复使用
紧密耦合：容器间网络耦合紧密

4. 无网络模式（None Mode）

无网络模式下容器没有网络接口，只有loopback接口。

无网络模式特点

网络隔离：完全隔离网络
安全高：网络安全性高
无法访问：无法访问外部网络
适用场景：安全计算、数据加密等

容器网络解决方案

1. Docker网络

Docker提供的原生网络解决方案。

Docker网络命令

# 查看网络
docker network ls
 
# 创建网络
docker network create my-network
 
# 连接容器到网络
docker network connect my-network container1
 
# 断开容器网络连接
docker network disconnect my-network container1
 
# 删除网络
docker network rm my-network

Docker网络类型

bridge：默认的桥接网络
host：主机网络
overlay：覆盖网络，多主机通信
macvlan：MACVLAN网络，容器直接连接物理网络
none：无网络

2. Kubernetes网络

Kubernetes提供的容器网络解决方案，支持多种网络插件。

Kubernetes网络要求

所有Pod间通信：所有Pod之间可以直接通信
Pod与Node间通信：Pod与Node之间可以直接通信
网络地址平等：Pod和Node的网络地址平等
NAT仅出向：只在出向通信时使用NAT

Kubernetes网络组件

Pod网络架构
┌─────────────────┐
│   Pod A        │
│ ┌───────────┐ │
│ │  Pause容器  │ │
│ │   eth0     │ │
│ └───────────┘ │
│ ┌───────────┐ │
│ │ 业务容器   │ │
│ └───────────┘ │
└─────────────────┘

3. CNI（Container Network Interface）

CNI是容器网络接口规范，定义了容器网络插件的标准接口。

CNI工作流程

1. 容器运行时调用CNI插件
2. CNI插件配置网络
3. CNI插件返回配置结果
4. 容器启动

CNI配置示例

{
  "cniVersion": "0.3.1",
  "name": "mynet",
  "type": "bridge",
  "bridge": "cni0",
  "isGateway": true,
  "ipMasq": true,
  "ipam": {
    "type": "host-local",
    "subnet": "10.22.0.0/16",
    "rangeStart": "10.22.1.100",
    "rangeEnd": "10.22.1.200"
  }
}

容器网络挑战

1. 网络性能

网络开销：虚拟网络带来的性能开销
带宽限制：容器带宽限制
延迟问题：多层网络架构增加延迟
CPU开销：网络处理CPU开销

2. 网络隔离

隔离级别：不同级别的网络隔离需求
安全策略：复杂的安全策略实现
多租户：多租户环境下的网络隔离
微隔离：细粒度的网络微隔离

3. 服务发现

动态服务：服务的动态注册和发现
负载均衡：服务的负载均衡
健康检查：服务健康状态检查
DNS集成：与DNS系统的集成

4. 网络管理

复杂环境：大规模复杂网络环境管理
可视化：网络拓扑可视化
故障排查：网络故障排查困难
监控告警：网络监控和告警

容器网络优化

1. 性能优化

CPU亲和性

# 设置容器CPU亲和性
docker run --cpuset-cpus="0,1" myimage

网络优化参数

# 网络参数优化
echo 'net.core.rmem_max = 134217728' >> /etc/sysctl.conf
echo 'net.core.wmem_max = 134217728' >> /etc/sysctl.conf
sysctl -p

高性能网络插件

SR-IOV：单根I/O虚拟化
DPDK：数据平面开发套件
XDP：eXpress Data Path
eBPF：扩展Berkeley包过滤器

2. 安全优化

网络策略

# Kubernetes网络策略示例
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

安全组

# Docker安全组配置
docker run --security-opt no-new-privileges \
           --cap-drop ALL \
           --cap-add NET_ADMIN \
           myimage

3. 可观察性

网络监控

# 容器网络监控
docker stats --no-stream
 
# 网络接口统计
cat /proc/net/dev

网络日志

# 网络日志收集
iptables -I OUTPUT -j LOG --log-prefix "CONTAINER-OUT: "
iptables -I INPUT -j LOG --log-prefix "CONTAINER-IN: "

容器网络发展趋势

1. 智能网络

AI网络优化：基于AI的网络优化
自适应网络：自适应网络调整
预测网络：预测网络问题
自动修复：网络问题自动修复

2. 云原生网络

云原生服务：云原生网络服务
Serverless网络：Serverless网络架构
边缘网络：边缘计算网络
混合云网络：混合云网络连接

3. 标准化发展

CNI标准：CNI标准持续发展
网络API：标准化网络API
协议演进：网络协议演进
互操作性：提高网络方案互操作性

🔗 相关链接

最后更新：2025-01-26 维护规范：详见笔记规范文档

容器网络 Docker Kubernetes CNI 网络命名空间

Muliminty Note

探索

01-容器网络概述