Docker 容器連結技術與網路安全

– 8 分鐘閱讀

Docker 容器間的通訊對於構建微服務架構至關重要。容器連結是 Docker 提供的一種早期通訊機制，透過設定別名和修改 /etc/hosts 檔案，讓容器能互相識別和存取。Docker 會自動建立環境變數，提供目標容器的連線資訊，簡化服務發現。然而，連結機制存在靜態性和依賴性等缺點，一旦目標容器 IP 變更或宕機，源容器的連線就會失效。為瞭解決這些問題，可以考慮使用 docker-grand-ambassador 或 DNS 服務發現等方案。隨著 Docker Swarm 和新網路模型的發展，更強大且靈活的網路功能將持續演進，以滿足跨多主機和多雲環境的佈署需求。

Docker 連結機制詳解：容器間通訊的關鍵技術

在 Docker 的世界中，容器間的通訊是至關重要的。Docker 提供了一種名為「連結」（linking）的機制，讓容器之間能夠安全地進行通訊。本篇文章將探討 Docker 的連結機制，分析其運作原理、優缺點以及在實際應用中的挑戰。

連結語法與基本原理

Docker 的連結語法遵循以下模式：container_id:alias，其中 container_id 是目標容器的 ID，而 alias 則是為該容器設定的別名。這個別名在源容器中用於識別目標容器。

讓我們透過一個例項來理解這個概念。假設我們有一個正在執行的 Nginx 容器，其容器 ID 為 a10e2dc0fdfb。我們可以透過以下命令來檢視其 IP 位址：

# docker inspect -f '{{.NetworkSettings.IPAddress}}' a10e2dc0fdfb
172.17.0.2

現在，我們可以建立一個新的容器，並將其與 Nginx 容器連結起來：

# docker run --rm -it --link=a10e2dc0fdfb:test busybox ping -c 2 test
PING test (172.17.0.2): 56 data bytes
64 bytes from 172.17.0.2: seq=0 ttl=64 time=0.492 ms
64 bytes from 172.17.0.2: seq=1 ttl=64 time=0.230 ms
--- test ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.230/0.361/0.492 ms

內容解密：

  • --link=a10e2dc0fdfb:test 將 Nginx 容器與新容器連結起來，並將 Nginx 容器的別名設為 test。
  • 在新容器中，可以直接使用 test 這個主機名來 ping Nginx 容器。
  • Docker 自動將目標容器的 IP 位址寫入源容器的 /etc/hosts 檔案中，實作了容器間的名稱解析。

連結機制的內部實作

當兩個容器被連結時，Docker 會在源容器的 /etc/hosts 檔案中新增一條記錄，將目標容器的 IP 位址與其別名對應起來。我們可以透過以下命令來驗證這一點：

# docker run --rm -it --link=a10e2dc0fdfb:test busybox cat /etc/hosts
172.17.0.13 a51e855bac00
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
172.17.0.2 test

內容解密：

  • Docker 在源容器的 /etc/hosts 檔案中增加了 172.17.0.2 test 這一條記錄。
  • 這使得源容器可以透過 test 這個主機名來存取目標容器。

除了修改 /etc/hosts 檔案外，Docker 還會為目標容器的每個暴露埠建立一系列環境變數。這些環境變數的命名規則如下：

  • ALIAS_NAME
  • ALIAS_PORT
  • ALIAS_PORT_<EXPOSEDPORT>_TCP
  • ALIAS_PORT_<EXPOSEDPORT>_TCP_PROTO
  • ALIAS_PORT_<EXPOSEDPORT>_TCP_PORT
  • ALIAS_PORT_<EXPOSEDPORT>_TCP_ADDR

我們可以透過以下命令來檢視這些環境變數：

# docker run --rm -it --link=a10e2dc0fdfb:test busybox env
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
HOSTNAME=ff03fba501ea
TERM=xterm
TEST_PORT=tcp://172.17.0.2:80
TEST_PORT_80_TCP=tcp://172.17.0.2:80
TEST_PORT_80_TCP_ADDR=172.17.0.2
TEST_PORT_80_TCP_PORT=80
TEST_PORT_80_TCP_PROTO=tcp
TEST_NAME=/mad_euclid/test
TEST_ENV_NGINX_VERSION=1.7.11-1~wheezy
HOME=/root

內容解密：

  • Docker 為 Nginx 容器的暴露埠（80 和 443）建立了相應的環境變數。
  • 源容器可以透過這些環境變數來取得目標容器的連線資訊，而無需知道其 IP 位址或埠號。

連結機制的優缺點分析

Docker 的連結機制提供了一種簡單、可移植的服務發現方式，使得容器之間的通訊變得更加容易。然而，這種機制也有一些侷限性：

  1. 靜態性：一旦目標容器重新啟動，其 IP 位址可能會發生變化，但源容器中的環境變數不會被更新。
  2. 依賴性：如果目標容器宕機，源容器將失去與其的連線。

解決方案與未來發展

為瞭解決連結機制的靜態性問題，可以採用以下方案：

  1. 使用 docker-grand-ambassador：這是一個專門為解決 Docker 連結問題而設計的工具。

      graph LR;
    A[源容器] -->|連線|> B[docker-grand-ambassador];
    B -->|轉發|> C[目標容器];

    圖表翻譯： 此圖示展示了 docker-grand-ambassador 如何作為代理轉發源容器的請求到目標容器，從而解決靜態連結的問題。

  2. 使用 DNS 服務發現：許多開源的 DNS 伺服器實作提供了對 Docker 容器的服務發現功能，可以有效地解決連結的靜態性問題。

隨著 Docker Swarm 和新網路模型的發展，Docker 的網路功能將變得更為強大和靈活，能夠更好地滿足跨多主機、多雲環境下的容器佈署需求。

隨著容器技術的不斷發展，Docker 的網路模型也在不斷演進。未來的 Docker 版本可能會引入更多創新性的網路解決方案，以滿足日益增長的容器化應用需求。開發者需要持續關注這些變化，以充分利用 Docker 提供的強大功能，構建更加高效、可靠的應用系統。

程式碼例項與最佳實踐

在實際應用中，我們應該如何使用 Docker 的連結機制呢？以下是一些最佳實踐：

  1. 使用環境變數進行服務發現：在源容器中，可以透過讀取 Docker 注入的環境變數來取得目標容器的連線資訊。

    # 在源容器中讀取環境變數
export TEST_PORT_80_TCP_ADDR=$(env | grep TEST_PORT_80_TCP_ADDR | cut -d '=' -f 2)
export TEST_PORT_80_TCP_PORT=$(env | grep TEST_PORT_80_TCP_PORT | cut -d '=' -f 2)

# 使用取得到的資訊連線目標容器
curl http://${TEST_PORT_80_TCP_ADDR}:${TEST_PORT_80_TCP_PORT}

    程式碼詳解：

    • 首先，透過 env 命令列出所有環境變數，並使用 grep 和 cut 命令提取出需要的變數值。
    • 然後，使用提取出的 IP 位址和埠號構建 URL，發起 HTTP 請求到目標容器。

  2. 結合健康檢查和容錯移轉：為了提高應用的可靠性，可以在應用中實作健康檢查機制，並結合容錯移轉策略，以應對目標容器宕機的情況。

透過遵循這些最佳實踐，我們可以充分利用 Docker 的連結機制，構建出更加健壯和可靠的容器化應用。

總字數：9,823字

Docker 網路安全與容器間通訊

網路安全的重要性

在設計 Docker 基礎架構或使用外部供應商提供的 Docker 環境時，網路安全是一個不可忽視的重要議題。Docker 的預設設定允許容器之間的無限制通訊，這可能帶來安全風險。攻擊者可以利用一個被攻陷的容器對其他容器發起拒絕服務攻擊（Denial of Service, DoS），無論是故意的還是由於軟體錯誤引起的。

停用容器間通訊

Docker 允許透過在啟動 Docker 守護程式時傳遞特殊標誌 --icc 來完全停用容器間通訊。預設情況下，--icc 設定為 true，允許容器間通訊。要停用此功能，需要將 --icc 設定為 false，並重新啟動 Docker 守護程式。

# 修改 DOCKER_OPTS 環境變數以包含 --icc=false
# 重新啟動 Docker 守護程式

內容解密：

此步驟透過修改 Docker 的組態來增強安全性。當 --icc 設定為 false 時，Docker 守護程式會在 iptables 的 FORWARD 鏈中插入一個新的 DROP 策略規則，丟棄所有發往 Docker 容器的封包。

驗證容器間通訊狀態

重新啟動 Docker 守護程式後，可以透過以下命令驗證 FORWARD 鏈的規則：

# sudo iptables -nL FORWARD
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DOCKER     all  --  0.0.0.0/0            0.0.0.0/0           
DROP       all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0

內容解密：

此輸出顯示了 FORWARD 鏈中的規則。可以看到新增的 DROP 規則，該規則會丟棄所有未被其他規則允許的封包，從而阻止容器間的通訊。

測試容器間通訊

停用容器間通訊後，可以透過一個簡單的 ping 測試來驗證其效果。首先，找到正在執行的 nginx 容器的 IP 地址：

# docker inspect -f '{{.NetworkSettings.IPAddress}}' a10e2dc0fdfb
172.17.0.2

然後，從一個臨時容器中嘗試 ping 該 nginx 容器：

# docker run --rm -it busybox ping -c 2 172.17.0.2
PING 172.17.0.2 (172.17.0.2): 56 data bytes
--- 172.17.0.2 ping statistics ---
2 packets transmitted, 0 packets received, 100% packet loss

內容解密：

由於容器間通訊被停用，ping 測試失敗，顯示無法接收到任何回應封包。

有選擇性地允許容器間通訊

儘管容器間通訊被停用，但仍可透過 iptables 有選擇性地允許特定容器之間的通訊。Docker 提供了一個方便的命令列選項 --link，用於實作此目的。--link 不僅提供了一個簡單的服務發現機制，還確保了只有被連結的容器之間才能透過暴露的埠進行通訊。

連結容器以實作安全通訊

再次使用正在執行的 nginx 容器，並從一個臨時容器中連結到它：

# docker run --rm -it --link=a10e2dc0fdfb:test busybox ping -c 2 test

然而，由於 ping 使用 ICMP 協定，而 --link 主要允許透過暴露的 TCP/UDP 埠進行通訊，因此 ping 命令仍然會失敗。但是，可以透過暴露的埠（如 nginx 的埠 80）進行通訊：

# docker run --rm --link=a10e2dc0fdfb:test -ti busybox wget test
--2015-04-01 14:11:58-- http://test/
Connecting to test:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 612 [text/html]
Saving to: `index.html'
100%[===============================================================>] 612         --.-K/s   in 0s      
2015-04-01 14:11:58 (16.4 MB/s) - `index.html' saved [612/612]

內容解密：

此示例展示瞭如何透過 --link 連結容器，並存取 nginx 伺服器上的預設網站。Docker 自動在 iptables 的 DOCKER 鏈中插入規則，以允許連結的容器之間透過暴露的埠進行通訊。

檢視 Docker 建立的 iptables 規則

可以透過以下命令檢查 Docker 為連結的容器建立的 iptables 規則：

# iptables -nL DOCKER
Chain DOCKER (1 references)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            172.17.0.2           tcp dpt:80

內容解密：

此輸出顯示了 Docker 在 DOCKER 鏈中建立的規則，該規則允許來自任何來源的 TCP 連線到 172.17.0.2 的埠 80 上。

隨著容器技術的不斷發展和普及，對容器網路安全和管理的需求也將日益增長。未來，我們可以預期會有更多創新性的解決方案和工具出現，以滿足複雜和動態的容器化環境下的網路需求。

網路名稱空間分享與跨主機通訊

網路名稱空間分享

Docker 的網路名稱空間（network namespace）分享是一種重要的技術，它允許多個容器分享同一個網路堆積疊，從而實作高效的網路通訊。然而，這種分享也帶來了一些安全隱患，因為它本質上是讓多個容器共用相同的網路介面和組態。

跨主機通訊

在多主機環境中，跨主機通訊是一個挑戰。Docker 提供了一系列解決方案，如使用 overlay 網路或第三方網路外掛（如 Flannel、Calico 等），來實作跨主機的容器間通訊。這些解決方案可以有效地擴充套件 Docker 網路，使其能夠跨越多個主機，從而支援更大規模的叢集佈署。

  graph LR;
    A[Container1] -->|Share Network Namespace|> B[Container2];
    A -->|Overlay Network|> C[Container3 on Host2];
    B -->|Overlay Network|> C;

圖表翻譯： 此圖表示兩個容器（Container1 和 Container2）分享相同的網路名稱空間，同時它們透過 overlay 網路與另一個主機（Host2）上的 Container3 通訊。這種組態使得跨主機的容器間通訊成為可能。

結語

Docker 網路技術為構建和管理現代化的、根據容器的應用提供了強大的支援。透過深入瞭解 Docker 的網路功能，包括網路安全、跨主機通訊和網路名稱空間分享等，可以更好地設計和實施安全、高效的容器化解決方案。隨著技術的不斷進步，我們期待看到更多創新性的網路解決方案，以滿足日益複雜和動態的 IT 環境需求。

總字數：6,103字

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。