Docker Labs网络篇深度剖析Bridge、Overlay与Routing Mesh搞懂Docker容器网络设计原理Docker 容器网络是容器化应用落地的第一道门槛。在开源教学项目Docker Labs的 networking/ 目录中官方用 4 个渐进式 Lab 和 14 篇概念章节完整拆解了Bridge 桥接网络、Overlay 覆盖网络与 Routing Mesh 路由网格的设计原理。本文将带你从新手视角出发3 步读懂 Docker 容器网络的核心机制单机互通、跨节点组网与集群级负载均衡。一、先搞懂 CNMDocker 容器网络的统一抽象模型Docker 网络架构建立在CNMContainer Networking Model容器网络模型之上。它把网络抽象为三个与操作系统无关的概念保证应用在任何基础设施上都有统一体验构造作用Sandbox沙箱承载容器整个网络栈网卡、路由表、DNS 配置Endpoint端点把沙箱接入某个网络屏蔽底层驱动差异Network网络一组互通端点的集合不同网络之间默认互相隔离这套抽象正是应用可移植性的来源你的服务换一台机器、换一个网络驱动应用代码完全不用改。概念详解见 01-cnm.md。二、Bridge 桥接网络单机容器互通的最快路径2.1 默认 bridge 与 docker0 的区别很多新手会把三者混淆其实它们是不同层面的东西bridgeDocker 网络的名称bridge网络驱动模板docker0内核中真正的Linux 网桥虚拟交换机容器启动后Docker 会通过一对veth虚拟网卡把容器内的eth0挂到网桥上并由内置 IPAM 驱动分配172.17.0.0/16段的私有 IP。2.2 用户自定义 bridge支持手动 IP 与子网相比默认 bridge用户自定义网络支持手动指定子网和 IP 地址还能利用容器名做服务发现这是生产环境推荐的起步方式$ docker network create -d bridge my_bridge $ docker run -itd --name c2 --net my_bridge busybox sh $ docker run -itd --name c3 --net my_bridge --ip 10.0.0.254 busybox sh2.3 NAT 与端口映射容器如何访问外网Bridge 网络默认不对暴露在外部网络出向流量自动 SNATMasquerade成宿主机 IP 临时端口入向流量必须通过-p/--publish端口映射本质是 PAT 动手实验A2-bridge-networking.md 让你在 15 分钟内从docker network ls到 nginx 端口映射完整走一遍。三、Overlay 覆盖网络VXLAN 如何实现跨节点组网3.1 为什么需要 OverlayBridge 是local作用域只能在单台主机内工作。当服务扩容到多台节点就需要跨主机的网络——这正是Overlay 驱动的战场它用业界标准的VXLANMAC-in-UDP封装把容器二层流量塞进三层 IP 包在物理网络上隧道传输。数据包穿越 Overlay 的完整旅程容器c1通过本地 DNS 把c2解析为 Overlay IP如10.0.0.3c1生成目的 MAC 为c2的二层帧Overlay 驱动加上 VXLAN 头物理网络负责把包路由到host-Bhost-B解封装原始帧送达c2的eth03.2 两大关键网桥overlay 与 docker_gwbridgeOverlay 网络启用后Docker Engine 会在每台参与主机上按需创建网桥只有调度到容器时才创建避免网络泛滥overlay 网桥VXLAN 封装/解封装的入口每主机每 Overlay 子网一个docker_gwbridge集群出向流量网关每主机仅一个禁止容器间互访 一个巧妙的细节在node2上执行docker network ls时刚创建的 overlay 网络可能不可见——因为节点上还没有跑该网络的容器。这解释了网络随负载自动展开的懒加载机制。3.3 服务发现一个名字搞定负载均衡每个 Swarm service 自动分配一个VIP虚拟 IPDNS 服务器把服务名解析为 VIP流量自动分发到所有健康任务$ docker service inspect myservice VirtualIPs: [ { NetworkID: a59umzkdj2r0ua7x8jxd84dhr, Addr: 10.0.0.3/24 } ] 动手实验A3-overlay-networking.md 用两台节点搭建 Swarm跨主机 ping 通同一 Overlay 网络并实测ping myservice直接命中 VIP。四、Routing Mesh让集群每个节点都能对外提供服务这是 Docker 1.12 引入的杀手级特性组合ipvsiptables构成的集群级四层负载均衡。它解决一个经典难题——--publish发布的端口任务却不落在接收连接的那台节点上。Routing Mesh 的解法每个 Swarm 节点都监听该发布端口如8000流量进入任意节点后通过名为ingress的 Overlay 网络转发到服务 VIPVIP 再由 IPVS 内部负载均衡到健康的任务副本结果就是对外部客户端而言整个集群看起来就是一台机器DNS 指向任意节点 IP 都能通。你不再需要关心容器到底跑在哪。在 Docker Datacenter 中还有一层HTTP Routing MeshHRM基于 HTTP 请求头的Host字段把同一端口上的多个域名如red.example.com/white.example.com路由到不同服务实现单端口多服务复用。实验见 A4-HTTP Routing Mesh.md。五、选型指南Bridge、Overlay、MACVLAN 一张表看懂官方给出的驱动能力对比是选型决策的速查表驱动适用场景关键特性Bridge单机多容器互通简单高效支持端口映射无原生加密OverlaySwarm 集群跨节点组网全局服务发现、VIP 负载均衡、Routing Mesh、可选 IPsec 加密MACVLAN容器需要物理网络直连 IP容器获得可路由的外部地址支持 VLAN 分段 理论速读05-bridge-networks.md、06-overlay-networks.md、07-macvlan.md。六、安全设计要点网络即隔离边界Docker 网络的安全哲学是每个应用一张网L3 分段不同 Docker 网络之间默认防火墙隔离恶意容器只要不在同一网络上就无法触达你的应用控制平面Swarm 内置 PKI管理器与节点间通信默认 TLS 加密、证书自动轮换数据平面--opt encryptedtrue一键启用 IPsecAES-GCM加密容器间流量图中 host A 的web服务只跨 Overlay 网络 2 访问 host B 的db服务与admin所在网络完全隔离——这就是纵深防御在网络层的落地。详见 11-security.md。七、延伸阅读与动手路线图Docker Labs 的 networking 部分采用概念 → 实验双线结构建议按此路线学习入门A1-network-basics.md — 10 分钟认识docker network命令族与默认网络进阶A2 → A3 → A4 — 四个递进 Lab深挖concepts/ 下 14 篇概念章节覆盖 Linux 网络基础、IP 地址管理、负载均衡设计 与故障排查核心结论Bridge 负责单机内高效互通Overlay 负责跨节点无感组网 服务发现Routing Mesh 负责集群级流量入口。三者层层叠加构成了 Docker 容器网络可移植、可伸缩、安全隔离的设计内核。掌握这套模型你就能在任何云环境或本地集群中自如设计容器网络了。创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考