如何能让容器能够被外部网络访问

A. 如何在 Docker 容器之间设置网络

在你的宿主机启动docker的时候会多出一个docker0的虚拟网卡，然后容器都通过这个和外面通信。容器和docker宿主机之间是NAT的方式共享网络的，也就是说宿主机可以访问的资源，容器也是可以直接访问，你要使用apt-get，你就要保证你的宿主机可以上外网，否则免谈。

B. 请教docker有什么好方法，给容器映射一个外部可以独立访问的ip

绑定公网IP有多种方法：
1、把端口用 --publish forward 进容器里，或者说把端口发布出来。如 docker run -p 80:80 nginx
2、把某个虚拟或物理 interface bridge 进容器里，可以用一个叫 pipework 的工具：
3、直接不对容器网络做虚拟化/隔离，用 --net=host
浮动IP
浮动IP目前没有成熟的方案，在我看来，一个是自己写agent来通过iptables自动完成漂移，另一个是寄希望于官方的libnetwork

C. vmware下的linux服务器怎样才能让外网访问

1、明确LINUX服务器内网访问地址端口，确保LINUX服务器正常开启SSH服务，在内网SSH可以正常访问连接。

D. 请教docker有什么好方法，给容器映射一个外部可以独立访问的ip

要重新再获得被分配IP地址，可以在客户端主机的DOC下（在[开始]-[运行]里输入“cmd”或点击附件里的[命令提示符]就可以进入）
输入命令 ipconfig/release (释放掉你获得的IP)
然后 ipconfig/renew（重新到DHCP服务器那里获得IP）

A类是第1段1-126，B类第1段是128-191，C类第1段就是192-223
A、B类被作为外网地址，C类被用做局域网地址。
你要连通外网后A、B类的都是网络经营商拥有的，你得花钱租的。

DHCP有一定的记忆性，如果只连一台计算机，肯定经常出现总分配同1个地址，或差不多的地址，以求网络的稳定，并节省消耗。

E. centos下docker容器外网怎么访问

当前Ubuntu 系统下的 Docker 的安装包只提供64位。如果你想运行32位的 Docker，你需要。 安装 Docker 通过 apt-get 安装 Docker 简直是小菜一碟。 $ sudo apt-get install docker.io 如果你不是 root 组的用户，你可以把自己加入到 docker 用户...

F. 如何在 Docker 容器之间设置网络

在使用 weave 之前，你需要在所有宿主机上安装 Docker 环境，参考这些教程，在 Ubuntu 或 CentOS/Fedora 发行版中安装 Docker。
Docker 环境部署完成后，使用下面的命令安装 weave：
$ wget chmod a+x weave$ sudo cp weave /usr/local/bin

注意你的 PATH 环境变量要包含 /usr/local/bin 这个路径，请在 /etc/profile 文件中加入一行（LCTT 译注：要使环境变量生效，你需要执行这个命令： source /etc/profile）：
export PATH="$PATH:/usr/local/bin"

在每台宿主机上重复上面的操作。
Weave 在 TCP 和 UDP 上都使用 6783 端口，如果你的系统开启了防火墙，请确保这两个端口不会被防火墙挡住。
在每台宿主机上启动 Weave 路由器
当你想要让处于在不同宿主机上的容器能够互相通信，第一步要做的就是在每台宿主机上启动 weave 路由器。
第一台宿主机，运行下面的命令，就会创建并开启一个 weave 路由器容器（LCTT 译注：前面说过了，weave 路由器也是一个容器）：
$ sudo weave launch

第一次运行这个命令的时候，它会下载一个 weave 镜像，这会花一些时间。下载完成后就会自动运行这个镜像。成功启动后，终端会输出这个 weave 路由器的 ID 号。
下面的命令用于查看路由器状态：
$ sudo weave status

第一个 weave 路由器就绪了，目前为止整个 peer 对等网络中只有一个 peer 成员。
你也可以使用 docker 的命令来查看 weave 路由器的状态：
$ docker ps

第二台宿主机部署步骤稍微有点不同，我们需要为这台宿主机的 weave 路由器指定第一台宿主机的 IP 地址，命令如下：
$ sudo weave launch <first-host-IP-address>

当你查看路由器状态，你会看到两个 peer 成员：当前宿主机和第一个宿主机。

当你开启更多路由器，这个 peer 成员列表会更长。当你新开一个路由器时，要指定前一个宿主机的 IP 地址，请注意不是第一个宿主机的 IP 地址（LCTT 译注：链状结构）。
现在你已经有了一个 weave 网络了，它由位于不同宿主机的 weave 路由器组成。
把不同宿主机上的容器互联起来
接下来要做的就是在不同宿主机上开启 Docker 容器，并使用虚拟网络将它们互联起来。
假设我们创建一个私有网络 10.0.0.0/24 来互联 Docker 容器，并为这些容器随机分配 IP 地址。
如果你想新建一个能加入 weave 网络的容器，你就需要使用 weave 命令来创建，而不是 docker 命令。原因是 weave 命令内部会调用 docker 命令来新建容器然后为它设置网络。
下面的命令是在宿主机 hostA 上建立一个 Ubuntu 容器，然后将它放到 10.0.0.0/24 网络中，分配的 IP 地址为 10.0.0.1：
hostA:~$ sudo weave run 10.0.0.1/24 -t -i ubuntu

成功运行后，终端会显示出容器的 ID 号。你可以使用这个 ID 来访问这个容器：
hostA:~$ docker attach <container-id>

在宿主机 hostB 上，也创建一个 Ubuntu 容器，IP 地址为 10.0.0.2：
hostB:~$ sudo weave run 10.0.0.2/24 -t -i ubuntu

访问下这个容器的控制台：
hostB:~$ docker attach <container-id>

这两个容器能够互相 ping 通，你可以通过容器的控制台检查一下。

如果你检查一下每个容器的网络配置，你会发现有一块名为“ethwe”的网卡，你分配给容器的 IP 地址出现在它们那里（比如这里分别是 10.0.0.1 和 10.0.0.2）。

Weave 的其他高级用法
weave 提供了一些非常巧妙的特性，我在这里作下简单的介绍。
应用分离
使用 weave，你可以创建多个虚拟网络，并为每个网络设置不同的应用。比如你可以为一群容器创建 10.0.0.0/24 网络，为另一群容器创建 10.10.0.0/24 网络，weave 会自动帮你维护这些网络，并将这两个网络互相隔离。另外，你可以灵活地将一个容器从一个网络移到另一个网络而不需要重启容器。举个例子：
首先开启一个容器，运行在 10.0.0.0/24 网络上：
$ sudo weave run 10.0.0.2/24 -t -i ubuntu

然后让它脱离这个网络：
$ sudo weave detach 10.0.0.2/24 <container-id>

最后将它加入到 10.10.0.0/24 网络中：
$ sudo weave attach 10.10.0.2/24 <container-id>

现在这个容器可以与 10.10.0.0/24 网络上的其它容器进行通信了。这在当你创建一个容器而网络信息还不确定时就很有帮助了。
将 weave 网络与宿主机网络整合起来
有时候你想让虚拟网络中的容器能访问物理主机的网络。或者相反，宿主机需要访问容器。为满足这个功能，weave 允许虚拟网络与宿主机网络整合。
举个例子，在宿主机 hostA 上一个容器运行在 10.0.0.0/24 中，运行使用下面的命令：
hostA:~$ sudo weave expose 10.0.0.100/24

这个命令把 IP 地址 10.0.0.100 分配给宿主机 hostA，这样一来宿主机 hostA 也连到了 10.0.0.0/24 网络上了。显然，你在为宿主机选择 IP 地址的时候，需要选一个没有被其他容器使用的地址。
现在 hostA 就可以访问 10.0.0.0/24 上的所有容器了，不管这些容器是否位于 hostA 上。好巧妙的设定啊，32 个赞！

G. docker 容器的网络设为host, 其他容器怎么访问

容器设置为host网络模式，是复用了主机网络来运行容器，直接访问主机 IP 就可以了。

H. k8s 网络基础

author：sufei
说明：本文主要记录在学习k8s网络方面的相关知识

 Linux在内核网络栈中引入网络命名空间，将 独立的网络协议栈隔离 到不同的命令空间中，彼此间无法通信；

1、Linux操作系统，解析和封装网络包是通过一个网络协议栈完成，下层为上层服务，这个 协议栈中即包括如软件也包括硬件网络设 备。网络命名空间就是以软件方式隔离出单独的网络栈信息；

2、不同network namespace的软硬件资源相互不可见，好像处在物理隔离的不同物理机上一样，彼此隔离；

3、不同的网络命名空间会有自己独立的网卡、路由表、ARP 表、iptables 等和网络相关的资源

4、实验：可以借助 ip netns 命令来完成对 Network Namespace 的各种操作，如：

问题 ：什么是转移设备？

 可以在不同的 Network Namespace 之间转移设备（如veth）。由于一个设备只能属于一个 Network Namespace ，所以转移后在这个 Network Namespace 内就看不到这个设备了。 veth设备属于可转移设备 ，而很多其它设备（如lo、bridge等）是不可以转移的。

 veth pair 全称是 Virtual Ethernet Pair，是一个成对的端口，所有从这对端口一 端进入的数据包都将从另一端出来，反之也是一样。而veth pair就是为了在不同的 Network Namespace 直接进行通信，利用它可以直接将两个 Network Namespace 连接起来。

实验

 veth pair打破了 Network Namespace 的限制，实现了不同 Network Namespace 之间的通信。但veth pair有一个明显的缺陷，就是只能实现两个网络接口之间的通信。如果我们想实现多个网络接口之间的通信，就可以使用下面介绍的网桥（Bridge）技术（ 类似于物理交换机 ）。
 简单来说，网桥就是把一台机器上的若干个网络接口“连接”起来。其结果是，其中一个网口收到的报文会被复制给其他网口并发送出去。以使得网口之间的报文能够互相转发。

 网桥是一个二层网络设备，通过网桥可以将linux支持的不同的端口连接起来,并实现类似交换机那样的多对多的通信。

实验：

 

 Netfilter负责在内核中执行各种挂接的规则(过滤、修改、丢弃等)，运行在内核 模式中；Iptables模式是在用户模式下运行的进程，负责协助维护内核中Netfilter的各种规则表；通过二者的配合来实现整个Linux网络协议栈中灵活的数据包处理机制。

 iptables/netfilter(简称iptables)组成了Linux平台下的包过滤防火墙，可以完成封包过滤、封包重定向和网络地址转换（NAT）等功能。这部分主要了解两部分知识：

 应用层不管是要发送还是接收网络消息，都需要通过linux内核提供的一系列关卡。每个”关卡“担负着不同的工作。这里的”关卡“被称为”链“。如下图：

 Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关(如上面的172.17.0.1)。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

 Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

 下面具体来说说docker容器的几种网络模式，以便后续学习k8s网络。

 在host模式下（ –net=host），容器不会去建立新的网络命名空间，而直接使用宿主机的网络设备以及网络协议栈。这样自然不会虚拟出自己的网卡，配置自己的IP等。其特点如下：

 这个模式就是在创建容器时，指定网络（–net=container:NAME_or_ID）与之前容器在同一个网络命名空间中，而不是和宿主机共享（这也就是k8s中pod内各容器的一种网络模式）。下面说明几点：

 none模式(–net=none)Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

 bridge模式是docker容器的默认模式，当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器在bridge模式下会连接到这个虚拟网桥上，并由网桥自动分配ip。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

 下面说明这个模式下的工作方式：

 首先我们来看看k8s想要一个什么样的网络，也就是k8s网络设计的要求，具体如下：

 下面简单从几中不同的通信要求来看看k8s网络实现。

 在 Kubernetes 的世界里，IP 是以 Pod 为单位进行分配的。一个 Pod 内部的所有容器共享一个网络堆栈。实际上就是docker container网络模式。可以直接通过本地localhost进行网络访问。这个模式在mysql容器化中就是agent容器与mysql容器的网络通信方式。

 Pod1和Pod2都是通信veth pair连接到同一个docker0网桥上，它们的IP地址都是从docker0网段上动态获取的，它们和网桥本身的IP是同一个网段的。可以通过docker0作为交换机进行通信，也就是采用的docker bridge网络模式进行通信。

 由于在同一个网桥docker0上即可以保证分配的pod IP不会冲突，且可以相互通信，而如果需要跨Node物理节点，则无法通过docker网络直接满足要求了，那这些要求具体有哪些呢？

解决方案

方法一：k8s中通过在etcd中记录正在运行中pod的IP分配信息，这样我们就可以满足Pod IP与Node IP之间映射关系的记录；

方法二：可以在etcd中规划配置好所有主机docker0网桥的子网范围，从而满足Pod IP不冲突的要求；如：

方法三：要实现Pod跨Node通信，以k8s默认网络Flannel为例，就是采用overlay（覆盖网络）实现。具体下面说明：

问题：什么是覆盖网络？

覆盖网络就是应用层网络，是指建立在另一个网络上的网络。怎么理解呢？简单理解就是将TCP数据包装在另一种网络包里面进行路由转发和通信，另一种网络包目前可以是UDP、VxLAN、AWS VPC和GCE路由等数据转发方式。默认以UDP为例来说明flannel工作方式。

下面看看具体实现

问题 ：为保证各node内docker容器分配的ip地址不冲突，每个节点上的Docker会使用不同的IP地址段？如何实现的呢？

问题 ：为什么在发送节点上的数据会从docker0路由到flannel0虚拟网卡，在目的节点会从flannel0路由到docker0虚拟网卡？