在使用Docker容器时，我们需要访问容器的内部网络，或需要在容器间相互访问。Docker 容器默认不会开放任何端口，因此需要将容器与宿主机进行端口映射，使容器可外部访问。而容器间互相访问，除了可以基于端口映射进行访问外，还可以通过容器链接（Link）的方式，也可以通过Docker 网络（Networking）实现。
简单说：Docker 允许通过外部访问容器或容器互联的方式来提供网络服务。1 外部访问容器1.1 访问方式要想让外部访问容器中的一些网络应用，需要通过 -P 或 -p 参数来指定端口映射；-P ：Docker 会随机映射一个端口到内部容器开放的网络端口；docker container ls查看到本地主机的 32768 被映射到了容器的 80 端口，此时访问本机的32768 端口即可访问容器内 NGINX 默认页面：图片docker run -d -P nginx:alpine：图片-p：指定要映射的端口（
首先，大家如果看到有什么不懂的地方，欢迎吐槽！！！ 我会在当天或者第二天及时回复，并且改进~~
在docker容器中可以运行一些网络应用，外部想要访问docker容器内的应用，可以通过-p或-P选项来指定端口映射，两个选项的区别如下所示：
在启动容器的时候， 如果不指定对应参数， 在容器外部是无法通过网络来访问容器内的网络应用和服务的。 当容器中运行一些网络应用， 要让外部访问这些应用时， 可以通过-P或-p参数来指定端口映射。 当使用平（大写的）标记时， Docker 会随机映射一个 49000—49900 的端口到内部容器开放的网络端口：
该文介绍了Docker网络配置的相关内容。文章首先介绍了Docker网络的基本配置，包括默认桥接、自定义网络、端口映射和容器网络模式等。然后详细讲解了各种网络模式的配置方法和注意事项，包括桥接模式、host模式、other container模式和none模式。
最近又开始做些企业微信相关的开发了。上次做企业微信相关的开发是在2018年，一个考勤系统，管理后台，外加一个企业微信中的自建应用。
EXPOSE 通知 Docker 容器在运行时监听指定的网络端口 EXPOSE 端口号 EXPOSE 端口号/协议 默认协议是 TCP 同时在 TCP、UDP 上暴露端口 EXPOSE 80/tcp EXPOSE 80/udp EXPOSE 原理 个人理解：EXPOSE 暴露的端口更像是指明了该容器提供的服务需要用到的端口 EXPOSE 并不会直接将端口自动和宿主机某个端口建立映射关系 如果 docker run，指定了自动映射 -P，那么会将所有暴露的端口随机映射到宿主机的高阶端口 如果 docker
在前面我们已经掌握了单个容器的管理操作，但是在实际工作中很少是只运行一个容器，而更多的是需要运行多个容器进行协作的情况，因此就需要多个容器之间能够互相访问到对方的服务，那么本篇文章就来学习Docker端口映射与容器互联相关的知识，注意本文所提到的宿主机是指VMware虚拟机，而非本地的Windows系统主机。
容器中可以运行一些网络应用，要让外部也可以访问这些应用，可以通过 -P 或 -p 参数来指定端口映射。
Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0),Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，成为Container-IP，同时Docker’网桥是 每个容器的默认网关。 因为同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。
1．容器对外服务 当容器内运行一些网络应用，要让外部访问这些应用时，可以通过 -P 或 -p 参数来指定端口映射。 使用 -P 映射时，Docker会随机映射一个49000 ～49900 的端口至容器
容器中可以运行网络应用，但是要让外部也可以访问这些应用，可以通过-p或-P参数指定端口映射。
这样通过docker ps可以看到后面有一个0.0.0.0:32769->5000/tcp,这就说明Docker 开放了 5000 端口（默认 Python Flask 端口）映射到主机端口 32769 上。
在 3.1，3.2 中，我们部署过了 Nginx 容器，使用了 --port=8080 或 containerPort: 8080 为 Pod 暴露一个端口，本章只是简单地为 Pod 创建 Service，并且介绍 Pod 的一些网络知识，在第四章中会详细讲解网络方面的知识。
容器中可以运行一些网络应用(如nginx、web应用、数据库等)，如果要让外部也可以访问这些容器内运行的网络应用，那么就需要配置网络来实现。
Docker 安装时会自动在 host 上创建三个网络，我们可用docker network ls 命令查看，如：
在Kubernetes管理模式下通常只会使用bridge模式，如下介绍在bridge模式下Docker是如何支持网络的。
尽管很多公司已经都使用k8s方便管理了各种容器应用，但作为一个容器管理者，需要了解其中网络如何运作，前面已经介绍了K8s中的网络，这里就来研究下docker容器中的网络配置。
一、几种网络端口模式 Openshift/Docker中，我们会遇到（听到）的几种网络端口模式有： Hostport Nodeport Hostnetwork router 它们有什么区别,适用于什么场景？我们先看看它们的作用。 二、什么是hostport？ hostport它指的是：在一个宿主机上运行的一个容器，为了外部能够访问这个容器，将容器的端口与宿主机进行端口映射。而为了避免宿主机上的端口占用，在容器和宿主机做端口映射的时候，通常映射一个比较大的端口号（小端口被系统服务占用）。 我们看一个实验：
内网Web Server 和 Ftp Server 需要将端口映射到公网 221.6.78.169 对外提供服务，其中Web 主机IP:192.168.1.12 端口443；Ftp 主机IP:192.168.99.51 端口8099；
Docker 是一个开源的应用容器引擎，基于 Go 语言 并遵从 Apache2.0 协议开源。
容器中可以运行一些应用，要让外部也可以访问这些应用，可以通过 -P 或 -p 参数来指定端口映射。
前面我们详细介绍了Zabbix与乐维监控在架构与性能、Agent管理、自动发现、权限管理、对象管理、告警管理、可视化及图形图表方面的对比分析，接下来我们将对二者网络功能方面进行对比分析。
容器的网络默认与宿主机、与其他容器相互隔离，且容器中可以运行一些网络应用，比如nginx、web应用、数据库等，如果需要让外部也可以访问这些容器中运行的网络应用，那么就需要配置网络来实现。
重点来了，以前我们在VMware中使用桥接，这需要保证Windows、Ubuntu、开发板三者互通，而很多人的电脑有多个网卡，这涉及的网络设置太复杂了。 现在我们使用NAT方式，这样会简单很多。
这一章介绍如何在 Docker 内部以及容器之间管理数据，在容器中管理数据主要有两种方式：
--restart=on-failure:3 表示容器的退出状态码非0(非正常退出)，自动重启容器，自动从其3次。超过3次则不再重启
当Docker启动时，会自动在主机上创建一个名为docker0虚拟网桥，实际上是Linux的一个bridge，可以理解为一个软件交换机，它会在挂载到它的网口之间进行转发。 同时，Docker随机分配一个本地未占用的私有网段中的一个地址给docker0接口。比如典型的172.17.0.1，掩码为255.255.0.0。此后启动的容器内的网口也会自动分配一个同一网段（172.17.0.0/16）的地址。 当创建一个Docker容器的时候，同时会创建了一对veth pair接口(当数据包发送到一个接口时，另外一个接口也可以收到相同的数据包)。这对接口一端在容器内，即一端在本地并被挂载到docker0网桥，名称以veth开头（例如vethb305ad8）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。 Docker创建了在主机和所有容器之间一个虚拟共享网络。
NFS(Network File System)，网络文件系统，是一种比较常见的文件共享的方式，可以通过网络，让不通的机器，不通的操作系统之间实现文件共享。
除了可以在Docker Hub上搜索镜像外，还可以通过命令 docker search xxx 进行搜索，下面以 mysql 为例：
Docker是一个开源的应用容器引擎，基于Go语言并遵从Apache2.0协议开源。Docker可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器中，然后发布到任何流行的Linux机器上，也可以实现虚拟化。容器是完全使用沙箱机制，相互之间不会有任何接口（类似iPhone的App），更重要的是容器性能开销极低。
docker/Docker如何查看宿主机到容器端口映射关系 背景 前些天的时候, 在定位问题时发现docker emqx 连接websocket (8083)端口出现异常. 经过很长时间定位, 才
能够成功地通过web漏洞获取到webshell，对于一次完整的渗透测试来说，仅仅相当于万里长征的第一步。并不是所有渗透测试都会遇到几百台机器的大内网。
在线课堂：https://www.100ask.net/index（课程观看） 论 坛：http://bbs.100ask.net/（学术答疑） 开 发 板：https://100ask.taobao.com/ （淘宝） https://weidongshan.tmall.com/(天猫)
1.首先，bridge网络是Docker默认的网络模式。在这种模式下，每个容器都会分配一个独立的IP地址， 并且可以通过容器名或者IP地址进行访问。bridge网络还支持端口映射，可以将主机上的端口映射到容 器内部的端口上，从而实现容器与外部的通信。
run命令：如果本地有镜像，则直接运行，如果本地没有 ，则需要去镜像仓库获取，默认是docker hub。
前面我们运行的容器并没有一些什么特别的用处。 接下来让我们尝试使用 docker 构建一个 web 应用程序。 我们将在docker容器中运行一个 Python Flask 应用来运行一个web应用。
在上一篇文章中我们介绍了基于ipvs的cluster ip类型service的实现原理，本质上是在iptable的PREROUTING chain以及相关target中利用ipset来匹配cluster ip，完成对即将做MASQUERADE伪装的items的mark标记，同时结合ipset也减少了iptable中的entry数量。另外在host network namespace里创建kube-ipvs0网络设备，绑定所有cluster ip，保证网络数据包可以进入INPUT chain。在INPUT chain中ipvs利用映射规则(可由ipvsadm查看该规则)完成对cluster ip的DNAT和目标pod endpoints选择的负载均衡，然后直接把数据送入POSTROUTING chain。当数据包进入POSTROUTING chain，经过相关的iptable target，匹配在PREROUTING chain中的mark标记，完成MASQUERADE伪装(SNAT host的ip地址)。最后数据包根据host network namespace的路由表做下一跳路由选择。在这里我们主要介绍基于ipvs的node port类型service的实现原理，如果对上一篇文章内容有所理解，那么这里也比较简单。
随着虚拟化技术的应用，很多环境配置都是在虚拟机中进行的，比如前几天我搭建的 Git 服务器，就是在一个物理机的虚拟机上搭建的，一方面可以做环境隔离，另一方面也方便管理，但是这样会带来另一个新的问题：网络访问。
我们在使用 docker run 创建 Docker 容器时，可以用--net 选项指定容器的网络模式，Docker 有以下 4 种网络模式：
在之前文章中我们介绍了基于iptable方式实现的k8s集群中cluster ip类型和node port类型service的负载均衡。其本质上是当网络数据包从pod的network namespace中通过linux veth pair设备进入到host宿主中的network namespace时，经过iptable一系列的NAT转换，把service的cluster ip和端口DNAT成pod的ip和端口。同时leverage linux iptable的random模块，实现了对pod的负载均衡，然后再交由host对目标pod的路由策略来实现将数据包发往pod。当然，这一切都是在linux内核空间实现的，和应用程序的用户空间没有关系。在这里我们主要介绍基于ipvs的cluster ip类型service的实现原理。如果对于ipvs不熟悉的同学可以浏览一下网站http://www.linuxvirtualserver.org/，大名鼎鼎的LVS负载均衡就是基于ipvs来实现的。
从docker的架构和运行流程来看，Docker是一个C/S模式的架构，后端是一个松耦合架构，众多模块各司其职。
Docker是基于go语言开发，底层技术（Linux下）主要基于cgroups、namespace以及联合文件技术实现的一种进程级别的轻量级虚拟化解决方案。由于Docker进程隔离独立于宿主机上其他进程，因此也称为容器，Docker在容器的基础上，进行了更进一步的封装，从文件系统、网络到进程隔离等，极大简化了容器的创建管理维护工作，降低了开发者使用门槛，因此才在近几年流行开来（毕竟Docker的底层技术在Docker出现之前就已经存在了）。
随着Internet的发展和网络应用的增多，IPv4地址枯竭已经成为制约网络发展的瓶颈。尽管IPv6可以从根本上解决IPv4地址空间不足的问题，但目前众多的网络设备和网络应用仍是基于IPv4的，因此在IPv6广泛应用之前，一些过渡技术的使用是解决这个问题的主要技术手段。
1. 每台机器上都有一个网卡，有的甚至有两个网卡 , ETHD 10.1.1.10/8就表示一个网卡
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
