Docker 網路安全與跨主機容器通訊

Docker 的網路安全設定和跨主機容器通訊是容器化應用佈署的關鍵環節。預設的橋接模式存在安全風險，例如容器間通訊未加密和 root 使用者可監控流量。透過 iptables 設定可限制容器間通訊，提升安全性。跨主機容器通訊則可使用大使模式、自定義 Docker 網路、OVS 與 GRE 隧道等技術。大使模式透過 socat 代理連線，自定義 Docker 網路則需指定 IP 範圍，而 OVS 與 GRE 隧道則需要更進階的網路知識。此外，Docker 也支援網路名稱空間分享，類別似 Kubernetes 的 Pod 概念，讓多個容器分享同一個網路名稱空間，簡化通訊。

Docker 網路安全與跨主機容器通訊

隨著容器技術的日益普及，確保容器間通訊的安全性和實作跨主機容器互聯變得尤為重要。本文將探討 Docker 網路安全、跨主機容器通訊的實作方法，以及一些進階的網路組態技巧。

Docker 網路安全

Docker 的預設網路組態使用橋接模式（bridge mode），所有容器的網路流量都透過 docker0 橋接裝置進行轉發。然而，這種組態存在一些安全隱患，例如：

容器間通訊未加密：預設情況下，容器間的通訊是未加密的，這在多租戶環境中可能導致安全問題。
root 使用者可監控容器流量：由於 docker0 橋接裝置執行在混雜模式（promiscuous mode），具有 root 許可權的使用者可以監控所有容器的網路流量。

iptables 規則組態

為了確保容器間通訊的安全，可以透過組態 iptables 規則來限制容器間的通訊。例如：

ACCEPT tcp -- 172.17.0.9 172.17.0.2 tcp dpt:443
ACCEPT tcp -- 172.17.0.2 172.17.0.9 tcp spt:443
ACCEPT tcp -- 172.17.0.9 172.17.0.2 tcp dpt:80
ACCEPT tcp -- 172.17.0.2 172.17.0.9 tcp spt:80

這些規則允許特定的容器間通訊，例如允許 172.17.0.9 和 172.17.0.2 之間的 HTTP 和 HTTPS 通訊。

網路分割

另一個重要的安全考量是網路分割。目前，Docker 尚未提供原生的網路分割功能，所有容器的網路流量都透過 docker0 橋接裝置進行轉發。因此，建議對進出容器的網路流量進行加密。

跨主機容器通訊

為了實作跨主機容器通訊，可以採用以下幾種方法：

大使模式（Ambassador Pattern）：透過在每個 Docker 主機上執行一個特殊的容器，該容器執行 socat 網路代理，將來自不同主機的容器的連線進行代理轉發。

大使模式範例

以下是一個簡單的大使模式範例：

# 主機 A
docker run -d --name ambassador -p 80:80 svendowideit/ambassador
docker run -d --name web --link ambassador:web nginx

# 主機 B
docker run -d --name ambassador -p 80:80 svendowideit/ambassador
docker run -d --name web --link ambassador:web nginx

在這個範例中，兩個主機上的 ambassador 容器透過 socat 網路代理將來自不同主機的容器的連線進行代理轉發。

自定義 Docker 網路

Docker 允許使用者自定義網路組態，例如指定 IP 位址範圍。透過傳遞特殊選項給 Docker daemon，可以實作自定義私有網路。

自定義 Docker 網路範例

以下是一個自定義 Docker 網路範例：

DOCKER_OPTS="--bip=192.168.20.5/24 --fixed-cidr=192.168.20.0/25"

這個範例將 Docker 網路組態為使用 192.168.20.0/24 網段，並為容器分配 192.168.20.0/25 網段的 IP 位址。

Open Virtual Switch (OVS) 和 GRE 隧道

另一個實作跨主機容器通訊的方法是使用 OVS 和 GRE 隧道。這需要至少基本的 OVS 知識，並可能涉及複雜的網路組態。

網路名稱空間分享

Kubernetes 專案中引入了 Pod 的概念，透過分享網路名稱空間來實作多個容器的互聯。Docker 也提供了類別似的功能，透過 --net=container:NAME_or_ID 選項，可以讓多個容器分享同一個網路名稱空間。

網路名稱空間分享範例

以下是一個網路名稱空間分享範例：

# 建立一個新的容器，並指定網路模式為 container:nginx
docker run -d --net=container:nginx busybox sleep 3600

# 檢視 nginx 容器的網路介面
docker exec -it nginx ip link list

在這個範例中，新建立的容器與 nginx 容器分享同一個網路名稱空間。

隨著 Docker 和容器技術的不斷發展，未來可能會出現更多新的網路組態和安全功能。例如，Docker 的 libnetwork 專案旨在提供更靈活和可擴充套件的網路功能。因此，保持對新技術和新功能的關注對於確保容器的安全性和可靠性至關重要。

程式碼範例：使用 Docker Compose 組態跨主機容器通訊

以下是一個使用 Docker Compose 組態跨主機容器通訊的範例：

version: '3'
services:
  web:
    image: nginx
    ports:
      - "80:80"
    depends_on:
      - ambassador
    environment:
      - "ambassador=web"

  ambassador:
    image: svendowideit/ambassador
    ports:
      - "80:80"

這個範例使用 Docker Compose 組態了一個簡單的大使模式，實作了跨主機容器通訊。

Docker 網路架構圖

  graph LR;
    A[Docker 主機 A] -->|GRE 隧道|> B[Docker 主機 B];
    A -->|OVS|> C[容器 A];
    B -->|OVS|> D[容器 B];
    C -->|通訊|> D;

圖表翻譯： 此圖展示了使用 OVS 和 GRE 隧道實作跨主機容器通訊的架構。兩個 Docker 主機透過 GRE 隧道連線，各自主機上的容器透過 OVS 與其他主機上的容器進行通訊。

Docker 網路名稱空間分享的原理與實務應用

Docker 的網路名稱空間分享是一種強大的功能，能夠讓多個容器共用同一個網路堆積疊（network stack），進而簡化容器間的通訊並提升效能。本文將探討 Docker 網路名稱空間分享的原理、優勢、限制以及實際應用場景。

網路名稱空間分享的基本原理

在 Docker 中，每個容器預設都有自己的網路名稱空間，這意味著每個容器都有獨立的網路堆積疊，包括網路介面、路由表等。然而，透過 --net=container:<container_id> 引數，我們可以讓一個新建立的容器加入另一個容器的網路名稱空間，從而共用該容器的網路介面和組態。

例項操作：驗證網路名稱空間分享

首先，建立一個執行 Nginx 的容器：

docker run -d --name nginx nginx

接著，建立一個新的容器並加入上述 Nginx 容器的網路名稱空間，列出其網路介面：

docker run --rm -it --net=container:nginx busybox ip link list

輸出結果顯示，新容器與 Nginx 容器共用相同的網路介面，包括 lo 和 eth0：

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
71: eth0: <BROADCAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default
    link/ether 02:42:ac:11:00:05 brd ff:ff:ff:ff:ff:ff

程式碼解析

# 建立Nginx容器
docker run -d --name nginx nginx

# 建立新容器並加入Nginx容器的網路名稱空間
docker run --rm -it --net=container:nginx busybox ip link list

內容解密：

docker run -d --name nginx nginx：在背景執行一個名為 nginx 的容器。
docker run --rm -it --net=container:nginx busybox ip link list：建立一個新的容器並指定其網路名稱空間與 nginx 容器共用，然後執行 ip link list 命令列出網路介面。
--rm 引數確保容器離開後自動刪除，避免資源浪費。
-it 引數允許互動式操作並分配一個偽終端。

網路名稱空間分享的優勢與限制

優勢：

減少資源佔用：共用網路名稱空間能夠減少 Linux 核心中的資源佔用，提升系統效能。
簡化網路管理：無需組態複雜的 iptables 規則，容器間的通訊變得更加直接。
高效的本地通訊：服務之間可以透過 loopback 介面進行通訊，提升資料傳輸效率。

限制：

無法繫結相同 IP 和埠：共用網路名稱空間的容器無法在相同的 IP 地址和埠上繫結不同的服務。
名稱空間無法重複使用：如果源容器停止執行，其網路名稱空間會被銷毀，其他容器需要重新加入新的名稱空間。

與主機共用網路名稱空間

Docker 還允許容器直接與主機共用網路名稱空間，透過 --net=host 引數實作。這使得容器能夠直接存取主機的網路介面，無需額外的網路組態。

例項操作：驗證與主機共用網路名稱空間

首先，列出主機上的網路介面：

ip link list

輸出結果顯示主機上的網路介面：

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP mode DEFAULT group default qlen 1000
    link/ether 04:01:47:4f:c6:01 brd ff:ff:ff:ff:ff:ff
4: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default
    link/ether 56:84:7a:fe:97:99 brd ff:ff:ff:ff:ff:ff

接著，建立一個與主機共用網路名稱空間的容器，並列出其網路介面：

docker run --rm --net=host -it busybox ip link list

輸出結果與主機上的網路介面完全一致：

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP mode DEFAULT group default qlen 1000
    link/ether 04:01::47:4f:c6::01 brd ff::ff::ff::ff::ff
4:: docker0:: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default
    link/ether 56::84::7a::fe::97::99 brd ff::ff::ff::ff::ff::ff

程式碼解析

# 列出主機上的網路介面
ip link list

# 建立與主機共用網路名稱空間的容器並列出其網路介面
docker run --rm --net=host -it busybox ip link list

內容解密：

ip link list：列出主機上的所有網路介面。
docker run --rm --net=host -it busybox ip link list：建立一個新的容器並與主機共用網路名稱空間，然後執行 ip link list 命令。
--net=host 引數使容器共用主機的網路堆積疊。
輸出結果顯示，容器的網路介面與主機完全一致。

安全考量與最佳實踐

雖然與主機共用網路名稱空間提供了便利，但也帶來了潛在的安全風險。特別是在生產環境中，應謹慎使用此功能，以避免暴露主機的敏感資訊。

風險點：

安全風險：容器可能存取主機上的敏感網路資訊，如 Unix sockets。
服務衝突：多個容器共用主機埠時可能導致服務衝突。

最佳實踐：

謹慎使用 --net=host：僅在必要場景下使用，並確保容器的安全性。
使用私有網路：在大多數情況下，使用 Docker 的私有網路功能來隔離和管理容器間的通訊。

隨著容器技術的不斷發展，Docker 網路功能將進一步增強，提供更強大的隔離性和互通性。未來可能的發展方向包括：

更靈活的網路組態選項
更強大的安全管理功能
更高效的跨主機通訊機制

這些進展將進一步鞏固 Docker 在容器化技術中的領先地位，並推動企業在雲原生架構上的創新與實踐。

Docker 網路功能詳解與實務應用

Docker 網路架構提供了豐富的選項來連線容器，滿足不同基礎設施的需求。隨著容器化技術的廣泛應用，深入理解 Docker 網路組態與管理成為了企業佈署的重要課題。本文將詳細探討 Docker 網路的核心概念、實務挑戰及解決方案。

網路名稱空間與容器間通訊

Docker 利用 Linux 網路名稱空間（Network Namespace）實作容器間的網路隔離。每個容器擁有獨立的網路堆積疊，包括網路介面、路由表和 iptables 規則。這種設計確保了容器間的網路隔離，同時提供了靈活的網路組態選項。

關鍵技術解析

網路名稱空間隔離
- 每個容器擁有獨立的網路堆積疊
- 實作容器間的網路隔離
- 提供靈活的網路組態選項

容器網路介面組態

# 建立 veth 對
ip link add veth0 type veth peer name veth1

# 將 veth1 移入容器網路名稱空間
ip link set veth1 netns <container-ns>

# 組態 IP 位址
ip netns exec <container-ns> ip addr add 192.168.0.1/24 dev veth1

內容解密：

上述指令建立了一對虛擬網路介面（veth pair），並將其中一個介面組態到指定的容器網路名稱空間中。這種組態實作了主機與容器之間的網路連通，同時保持了網路的隔離性。

跨主機容器通訊方案

在多主機環境下，Docker 提供了多種跨主機容器通訊方案，包括根據 overlay 網路的解決方案。

實務挑戰與解決方案

Overlay 網路實作
- 利用 VXLAN 等隧道技術實作跨主機通訊
- 需要集中式的鍵值儲存（如 etcd）進行網路組態同步

Weave 網路解決方案

提供簡單易用的跨主機網路連線功能
支援加密通訊和 DNS 服務發現

# 安裝 Weave
curl -L git.io/weave -o /usr/local/bin/weave
chmod +x /usr/local/bin/weave

# 啟動 Weave 網路
weave launch

內容解密：

Weave 提供了一種簡單高效的跨主機容器網路解決方案。它透過建立 overlay 網路，實作了不同主機上容器的無縫連線。同時，Weave 提供了豐富的功能，如網路加密和服務發現，大大簡化了容器化應用的佈署和管理。

IPv6 在 Docker 中的應用

隨著 IPv4 位址短缺問題的日益嚴重，IPv6 的採用變得越來越重要。Docker 對 IPv6 提供了良好的支援，使得容器可以直接獲得全球可路由的 IPv6 位址。

IPv6 佈署要點

位址分配
- Docker 需要至少 /80 的 IPv6 位址空間
- 每個容器可獲得獨立的 IPv6 位址
- 簡化跨主機容器通訊
雲端服務供應商支援
- 主流雲端供應商逐步提供 IPv6 支援
- 部分供應商（如 Vultr）提供完整的 /64 位址空間

Docker 網路效能最佳化

預設的 Docker 網路組態可能導致效能問題，尤其是在高網路負載場景下。

效能最佳化措施

原生網路效能問題
- iptables 規則處理帶來效能開銷
- 隧道技術可能引入額外延遲

第三方工具最佳化方案

  graph LR
    A[原生Docker網路] -->|效能瓶頸|> B[第三方網路方案]
    B --> C[Weave]
    B --> D[Calico]
    B --> E[Flannel]
    C --> F[Overlay網路]
    D --> G[Layer 3路由]
    E --> H[VXLAN隧道]

圖表翻譯：
此圖表展示了從原生 Docker 網路到第三方網路方案的最佳化路徑。主要方案包括 Weave、Calico 和 Flannel，分別採用不同的技術實作網路效能的最佳化，如 overlay 網路、Layer 3 路由和 VXLAN 隧道等。

本章重點回顧

Docker 網路基礎
- 網路名稱空間隔離技術
- 容器間通訊機制
跨主機通訊方案
- Overlay 網路技術
- Weave 等第三方工具
IPv6 支援與應用
- 位址分配策略
- 雲端供應商支援現狀
效能最佳化措施
- 原生網路效能問題分析
- 第三方工具最佳化方案

透過對這些內容的深入理解，讀者可以全面掌握 Docker 網路的核心概念和實務應用，為構建高效、安全的容器化基礎設施奠定堅實基礎。

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。