自定义 Docker 网络和容器通信实用指南

定制 Docker 网络和容器通信实用指南

Docker 通过将应用程序及其依赖项打包到轻量、可移植的容器中，彻底改变了应用程序的开发和部署。管理多容器应用程序的一个关键方面是确保它们能够有效且安全地相互通信。Docker 的默认网络虽然功能齐全，但对于复杂应用程序来说往往力不从心。本指南将深入探讨创建和管理自定义 Docker 网络，特别是关注桥接网络，并演示如何使用 Docker CLI 和 Docker Compose 配置容器服务之间无缝通信。

理解 Docker 网络对于构建健壮、可扩展且可维护的容器化应用程序至关重要。通过超越默认的 bridge 网络，您可以更精细地控制网络拓扑、IP 地址管理和安全性，从而实现更可预测、更可靠的应用程序行为。本文将为您提供利用自定义网络进行项目所需的实用知识和示例。

为什么选择自定义 Docker 网络？

Docker 提供了多种网络驱动程序，每种都适用于不同的用例。默认的 bridge 网络是为未显式连接到其他网络的容器自动创建的。虽然方便，但它存在一些局限性：

有限的隔离性： 默认桥接网络上的容器可以使用其 IP 地址相互通信，但这并不总是直观或安全的。默认不支持容器名称解析。
IP 地址管理： 分配给默认桥接网络上容器的 IP 地址可能是动态的，难以管理。
可扩展性问题： 对于生产环境，通常需要更受控和隔离的网络设置。

自定义桥接网络提供了显著优势：

自动 DNS 解析： 同一自定义桥接网络上的容器可以通过其容器名称（或 Docker Compose 中的服务名称）发现并相互通信。这是服务间通信的重大突破。
增强的隔离性： 自定义网络为容器提供了专用的网络段，提高了安全性，并防止与网络外部容器意外通信。
更好的 IP 地址管理： 您可以为自定义网络定义子网和网关配置。
灵活性： 轻松地将容器添加到网络或从中删除，而不会影响其他容器。

使用 Docker CLI 创建和管理自定义桥接网络

Docker 的命令行界面 (CLI) 允许您直接创建、检查和管理网络。docker network 命令是您的主要工具。

创建自定义桥接网络

要创建新的自定义桥接网络，请使用 docker network create 命令：

docker network create my-custom-network

此命令使用 bridge 驱动程序创建一个名为 my-custom-network 的网络（如果没有指定驱动程序，则默认为 bridge）。

检查网络

您可以使用以下命令查看所有 Docker 网络及其详细信息：

docker network ls
docker network inspect my-custom-network

inspect 命令提供有关网络的详细信息，包括其配置、子网和连接的容器。

将容器连接到网络

创建新容器时，可以使用 --network 标志将其附加到自定义网络：

# 启动一个 Web 服务器容器并将其连接到 my-custom-network
docker run -d --name webserver --network my-custom-network nginx

# 启动一个数据库容器并将其连接到同一网络
docker run -d --name database --network my-custom-network postgres

现在，webserver 和 database 容器可以使用它们的名称相互通信。例如，从 webserver 容器内部，您可以 ping database 或使用 postgres 作为主机名连接到 PostgreSQL 实例。

连接现有容器

您也可以使用 docker network connect 将正在运行的容器连接到网络：

# 假设您有一个名为 'another-app' 的正在运行的容器
docker network connect my-custom-network another-app

断开容器连接

要从网络中删除容器：

docker network disconnect my-custom-network another-app

删除网络

在删除网络之前，必须停止并删除连接到该网络的所有容器，或者断开它们的连接。然后您可以使用：

docker network rm my-custom-network

使用 Docker Compose 实现无缝通信

Docker Compose 是定义和运行多容器 Docker 应用程序的宝贵工具。它允许您在单个 YAML 文件中管理应用程序的服务、网络和卷。在 Docker Compose 中定义自定义网络非常简单，并且对于任何多服务应用程序都强烈推荐。

在 `docker-compose.yml` 中定义网络

要在服务中定义自定义网络，请使用 docker-compose.yml 文件顶层的 networks 键。然后，在每个服务的定义下为其指定网络。

这是一个 docker-compose.yml 文件的示例：

version: '3.8'

services:
  web:
    image: nginx:latest
    ports:
      - "8080:80"
    networks:
      - app-network

  api:
    image: my-api-image:latest
    networks:
      - app-network
    environment:
      - DB_HOST=db

  db:
    image: postgres:latest
    environment:
      POSTGRES_DB: mydatabase
      POSTGRES_USER: user
      POSTGRES_PASSWORD: password
    networks:
      - app-network

networks:
  app-network:
    driver: bridge

在此示例中：

我们定义了一个顶层的 networks 部分。
app-network 被定义为一个自定义桥接网络。如果 app-network 不存在，Docker Compose 将创建它。
web、api 和 db 服务都通过每个服务下的 networks 键显式连接到 app-network。

服务如何通信

运行 docker-compose up -d 时，Docker Compose 会创建 app-network 并启动容器，将它们连接到此网络。至关重要的是，Docker Compose 会自动配置此网络内的 DNS 解析。这意味着：

web 服务可以使用主机名 db 访问 db 服务。
api 服务可以使用主机名 db 访问 db 服务。
web 服务可以使用主机名 api 访问 api 服务。

这种基于名称的通信比依赖 IP 地址更健壮、更易读。

自定义网络配置

Docker Compose 允许进一步自定义您的网络，例如定义子网和网关：

version: '3.8'

services:
  # ... services ...

networks:
  app-network:
    driver: bridge
    ipam:
      config:
        - subnet: 172.28.0.0/16
          gateway: 172.28.0.1

这提供了对网络使用的 IP 地址空间的显式控制。

自定义网络的最佳实践

每个应用程序一个网络： 对于大多数应用程序，在 Docker Compose 中定义一个专用的自定义网络可以简化管理和通信。
使用描述性的网络名称： 选择清晰表明网络用途的名称（例如，my-app-net、backend-services）。
仅连接必要的服务： 需要通信的服务应位于同一网络上。如果服务不需要交互，避免将所有服务连接到单个网络。
利用 Docker Compose： 对于除简单单容器设置之外的任何配置，Docker Compose 都能极大地简化自定义网络及其关联服务的管理。
避免在生产环境中使用默认桥接网络： 在生产环境始终使用自定义桥接网络或其他网络驱动程序（如用于 Swarm/Kubernetes 的 overlay），以确保更好的隔离性、控制和 DNS 解析。

结论

掌握自定义 Docker 网络是构建复杂、互连的容器化应用程序的必备技能。通过利用自定义桥接网络（无论是通过 Docker CLI 还是更实用的 Docker Compose），您可以实现强大的基于 DNS 的服务发现并增强网络隔离。这可以带来更易于维护、更具可扩展性且更安全的容器部署。拥抱自定义网络，为您的多服务应用程序释放 Docker 的全部潜力。