![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/66dbb27f583e04d3bcafa527f3a334f0.png)

# 本篇摘要
**本文深入解析Docker四大网络模式（Bridge/Host/Container/None），重点剖析Overlay、Macvlan、IPVLAN的实现原理与跨主机通信机制，并通过veth pair、网桥、iptables NAT实战演示容器内外网络流量走向。**



# 一.docker 网络分类


**之前在docker网络部分介绍了对应的`bridge host container none`网络；这里就不在介绍；下面重点说下对应的overlay网络。**

## overlay网络


![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/b319782bf9d0056603361f6b28bedf8d.png)

- 为了解决**跨主机的容器通信**问题，让运行在不同物理机器上的Docker容器能够像在同一个局域网内一样直接通信，因此引入了overlay网络类型。





 **实现原理**：

 - 在不改变底层物理网络的情况下，通过一种“**隧道**”技术（如VXLAN），将容器原始的**二层数据包**封装在**UDP/IP报文**里，利用现有IP网络进行传输（可以发现创建overlay网络后对应的bridge网络自动变成了`docker_gebridge`）。

**主要优势**：

- **透明性**：对应用程序和底层网络设施都是透明的，无需修改。
- **安全性**：支持对传输的消息进行加密（比如在overlay网络层操作）。
- **高效性**：消除了在容器之间进行`复杂操作系统`级路由的需要。

 **典型应用**：

- 它是**Docker Swarm**等容器编排工具实现多主机网络的主流方案，也是构建大规模云数据中心网络的基础技术（如VXLAN）。

**一句话：Overlay网络是一种通过“包中包”的`隧道技术`，在现有IP网络上构建出大规模虚拟二层网络，从而实现容器跨主机直接通信的解决方案。**



**`overlay网络创建指令如下：`**

```bash
docker network create -d overlay ovnet1
```



## MACVLAN网络


![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/63bab01cc73dce72c24deb500e14bdc8.png)


 为**每个容器**的虚拟网卡分配一个**真实的MAC地址**，让容器在网络层面上**等同于一台直接连接在物理网络中的真实主机**。

 **关键优势**：
 
 **性能极高**：容器流量直接通过物理网卡进出，**完全绕过了宿主机的协议栈和虚拟网桥（如docker0）**，减少了中间损耗。
 
 **网络隔离**：可以使用不同的物理接口为不同的Macvlan网络提供连接，实现网络隔离。

 **必要配置**：

创建Macvlan网络时，必须在Docker主机上指定三个参数：
 - 用于连接的**物理接口**（如 `eth0`）
 - 所在的**子网网段**
- 出口的**网关地址**

 **重要前提**：

 - 必须将指定的物理网卡（如 `eth0`）**开启混杂模式（promiscuous mode）**，命令为：`ifconfig eth0 promisc`。这是为了让该网卡能够接收目的MAC地址为所有容器（而非仅宿主机本身）的网络帧。

**一句话：Macvlan是一种高性能网络方案，它通过为容器分配独立MAC地址并让其直接借用物理网卡通信，使容器变成物理网络中的“一等公民”。**



**`overlay网络创建指令如下：`**

```bash
docker network create -d macvlan --subnet=172.16.10.0/24 --
gateway=172.16.10.1 -o parent=eth0 mac1
```


## IPVLAN网络

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/c0a3920345338d9de492747f3e94dd31.png)


 **核心功能**：

- IPVLAN 是一种网络技术，用于实现**不同主机上的容器之间直接通信**。

**工作模式特点**：


 - 它让所有容器都处于**同一个二层网络（同一个网段/VLAN）** 中，就像都连接在同一个物理交换机上一样。

 **跨网段通信方式**：

 - 通过创建不同的**子接口**并关联到不同的三层网络（网段），来实现不同IPVLAN网络（即不同网段）间的容器通信。

**与Overlay技术的对比**：
 - Overlay网络（如VXLAN）天生就是为了解决**跨三层IP网络**构建虚拟二层网络的问题，而IPVLAN最初更侧重于在**同一二层域内**提供高性能的网络解决方案。

**一句话：IPVLAN是一种让容器像在同一台交换机下一样直接通信的技术，通过子接口实现跨网段互联，与Overlay的“隧道”技术路线不同。**

**`overlay网络创建指令如下：`**

```bash
docker network create -d ipvlan --subnet=192.168.1.0/24 --
gateway=192.168.1.1 -o ipvlan_mode=l2 -o parent=eth0 pub_net
```

# 二.网络查询实战操作

## docker bridge 的 veth pair 的连接情况查看操作


![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/f7c33869ecd6ef195c98fad2d4b23697.png)
- 首先启动对应的busybox容器。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/c03bb3053188a281f7fd767aa0e97fb2.png)
- 进入容器查看网卡情况；可以看到存在一个veth的网卡对；然后内部是eth0网卡通过1721网线拉到宿主机。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/41940ca505806b063635bff8f97a27a1.png)
- 退出容器查看对应的这网线的另一头的网卡编号；然后去对应的docker0的linux bridge 发现确实被插上了（容器通过veth对借助网桥进行通信；包括对内与对外）。



## 容器与宿主机/外界主机通信原理


### ​​Docker容器网络与NAT技术​



1. **Bridge模式**：

 通过 **veth pair** 和 **Network Namespace** 技术，Docker 实现了容器与宿主机及外部的网络连通。


2. **NAT技术**

 由于容器（veth pair）的IP与宿主机IP**不在同一网段**，导致外部网络无法直接发现或通过容器IP访问其内部服务； Docker 采用 **NAT（网络地址转换）** 技术，让外部网络能够主动将数据包发送到容器内部。

3. **端口绑定**：

 容器内的服务监听自身的IP和端口（`port_0`），Docker 通过 NAT 将此端口与宿主机的某个端口（`port_1`）进行“绑定”或映射。这样，外部访问宿主机 `port_1` 的流量就会被自动转发到容器内部的 `port_0`。

**一句话：Docker通过NAT技术，将容器内部的端口与宿主机端口进行映射，解决了外部网络无法直接访问隔离容器的问题。**



## 容器与宿主机外部如何打通




1. **外界访问容器（入方向）**：
![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/78b5d1b98c3a608566684efd322a4a45.png)


- 通过 **DNAT（目标地址转换）** 实现。
- 外部请求访问**宿主机IP:端口**，宿主机根据DNAT规则将其**目的IP和端口改写为容器的IP和端口**，并通过veth pair将请求转发给容器内服务。

2. **容器访问外界（出方向）**：


![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/78ee51e95de34f1b7fbd093697064097.png)

- 通过 **SNAT（源地址转换）** 实现。
- 容器发出的请求，其源IP是容器IP。请求经veth pair和网桥到达宿主机后，宿主机根据SNAT规则将其**源IP改写为宿主机IP**，再发往外网。

4. **响应报文如何返回容器**：

- 关键靠 **`conntrack`（连接跟踪）** 机制，而非DNAT。
- 对于已建立的连接（ESTABLISHED）或相关连接（RELATED）的响应报文，宿主机能自动识别并将其**直接返回给原始的容器**，无需额外配置端口映射。

5. **核心依赖**：
- **veth pair**：连接容器与宿主机网桥的“虚拟网线”。
- **网桥（docker0）**：充当容器网络的虚拟交换机。
- **IP转发**：需开启宿主机内核的IP转发功能（`/proc/sys/net/ipv4/ip_forward`），宿主机才能为容器转发数据包。

**一句话：Docker通过DNAT让外界能访问容器，通过SNAT让容器能访问外界，依靠连接跟踪机制确保响应报文正确返回。**


### iptables简单介绍





1. **核心功能**：

 iptables 是 Linux 系统自带的**免费包过滤防火墙**，主要用于实现**封包过滤、重定向和网络地址转换（NAT）** 等核心安全功能。

2. **四张功能表**：

 * **filter 表**：最常用，负责**基础包过滤**，决定数据包是否允许通过。
 * **nat 表**：负责**网络地址转换**（如SNAT、DNAT），用于共享上网或端口映射。
 * **mangle 表**：用于**修改数据包内容**（如TTL）。
 * **raw 表**：用于**连接跟踪**前的数据包处理。

3. **常用命令参数**：

 * `-t`：指定要操作的表（如 filter、nat）。
 * `-L`：**列出**指定链中的所有规则。
 * `-n`：以**数字形式**显示IP和端口，加速解析。
 * `-v`：显示**详细信息**，如数据包计数。

**一句话：iptables 通过四张表（filter/nat/mangle/raw）和一系列规则链，构成了Linux系统的核心防火墙，用以控制网络流量和实现地址转换。**




**`下面通过nat表来验证下上面结论：`**


![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/43c278f2fa867414762916d423874dd9.png)

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/50712bf89d7006dba45470ecf36ec7e4.png)
- 这里伪装规则说了只要不是从docker出来的也就是从容器出来的；它的ip符合对应的docker0桥规定ip 无论目的ip等是啥都会遵守这个伪装规则。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/ef7d6fa8c583f82158220dec76c22a4f.png)
- 添加对应NGINX容器；理应说是可以外界ip访问进容器的。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/b7e3d72d26a1172ffc08a049bee41752.png)
- 这里再次查看发现对应的DNAT转化生效；把对应的只要不是从docker0桥进来的（也就是访问容器的）无论源目的ip是啥；都会被自动转化成对应容器的虚拟ip+port（这样就完成了正向访问）。

## 容器的网络命名空间查找


### nsenter介绍


1. **命令用途**：`nsenter` 命令用于进入指定进程（尤其是容器）的命名空间，从而使用宿主机的网络工具（如 `ip`、`ping`）调试容器内部网络，解决容器内缺少基础命令的问题。
2. **核心功能**：通过参数进入不同类型的命名空间（如网络、PID、挂载等），最常用的是进入容器的网络命名空间（`-n` 参数）。
3. **基本语法**：`nsenter [options] <program> [<argument>...]`，通过 `-t` 指定目标进程的PID来定位容器。
4. **常用参数**： 


- **`-t, --target <pid>`** **作用**：指定要进入的目标进程的PID，这是使用该命令的前提。

- **`-i, --ipc[=<file>]`** **作用**：进入目标进程的**IPC命名空间**，用于调试进程间通信。

- **`-m, --mount[=<file>]`** **作用**：进入目标进程的**Mount命名空间**，可访问其文件挂载点。

- **`-n, --net[=<file>]`** **作用**：进入目标进程的**Network命名空间**，用于配置和调试网络，是最常用的参数。

- **`-p, --pid[=<file>]`** **作用**：进入目标进程的**PID命名空间**，可查看其进程树。

- **`-u, --uts[=<file>]`** **作用**：进入目标进程的**UTS命名空间**，可查看或修改主机名与域名。

- **`-U, --user[=<file>]`** **作用**：进入目标进程的**User命名空间**，用于用户权限管理相关的操作。

- **`-V, --version`** **作用**：显示该命令工具自身的版本信息。
5. **适用场景**：轻量级容器缺失 `ip`、`tcpdump` 等网络工具时，直接从宿主机调试容器网络环境。


**测试下：**


![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/1b7aafa96e98db3d6c29cb7f67f2e857.png)
- 添加对应的网络命名空间。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/1d3a1c998be5076a8960cca8eb4c13a7.png)
- 进到宿主机放对应网络命名空间的目录。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/60bdd206ee9050b8a46949a8c03fe05c.png)
- 进去后查看对应接口配置；发现为空；和宿主机不一样。


**`下面测试下容器的网络命名空间:`**


![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/43018a3d7bf8ea4d22a06b5e320cea4a.png)
- 首先启动一个容器；理应创建了一个专属的网络命名空间。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/961e0e524c658d7350a851e48aa38146.png)
- 但是这里查不到；因为这指令只会显示主机默认的；而docker的专属放在一个目录里（`/var/run/docker/netns`）。


![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/aad0ffc19bd2487b59e424bb64c185f6.png)

- 看到了对应的busybox容器的网络命名空间。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/ed9210222cd04a2cf9e3f1cd6450463d.png)
- 这里查看容器详情也可以看到对应的命名空间id完整版。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/f28b3f29740d50bcdb6558521967e328.png)
- 进入容器看到它被docker0网桥分配的虚拟网卡的ip。

![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/56c6f714ce2263bffd7bad8e16631915.png)
- 在容器所在的网络命名空间进行ping百度；通过veth另一端给docker0网桥；然后在根据snat技术成功借助宿主机ip访问到百度；最后应答再次同理借助dnat技术完成发送给容器；故看到ping成功。



![在这里插入图片描述](https://developer.qcloudimg.com/http-save/yehe-11458826/c9959f2135c5dc8d36c3e9561900be46.png)
- 与容器详情看到的ip一致。


==**因此，关于容器网络命名空间设计大大简化了对容器网络调试的困难。**==










# 三.本篇小结
**学习完本篇将掌握Docker网络是容器技术的核心。Bridge模式通过veth pair和网桥连通容器，Overlay用隧道技术实现跨主机通信，Macvlan/IPVLAN让容器直连物理网络。理解DNAT/SNAT和网络命名空间是调试网络问题的关键。**


**本篇收尾了docker基础入门教程；之后会继续更新其他docker方面知识；欢迎订阅！**

本文深入解析Docker四大网络模式（Bridge/Host/Container/None），重点剖析Overlay、Macvlan、IPVLAN的实现原理与跨主机通信机制，并通过veth pair、网桥、iptables NAT实战演示容器内外网络流量走向。

Docker网络续集：穿越Bridge、隧道Overlay、直连Macvlan，构建云原生通信矩阵！

云计算

网络与通信

运维

深入解析Docker四大网络模式，涵盖Bridge、Host、Container、None及Overlay、Macvlan、IPVLAN实现原理。实战演示veth pair、网桥、iptables NAT流量走向，掌握DNAT/SNAT与网络命名空间调试技巧，助你精通容器网络通信机制。

用户权限管理

代码解释

数据中心

容器编排

防火墙

路由

Docker

容器

Linux

Nginx

让每一个 Agent，都跑在云上

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

Docker网络续集：穿越Bridge、隧道Overlay、直连Macvlan，构建云原生通信矩阵！-腾讯云开发者社区-腾讯云

Docker网络续集：穿越Bridge、隧道Overlay、直连Macvlan，构建云原生通信矩阵！

Docker网络续集：穿越Bridge、隧道Overlay、直连Macvlan，构建云原生通信矩阵！

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐