Podman 容器網路互連技術：CNI 與 Netavark 雙核心架構解析

# 執行 Nginx 容器並對映連接埠
# -d: 以背景模式執行容器，不會佔用終端機視窗
# -p 8080:80: 將主機的 8080 連接埠對映至容器內部的 80 連接埠
# --name: 指定容器的識別名稱，便於後續管理操作
podman run -d -p 8080:80 \
  --name net_example \
  docker.io/library/nginx

# 檢視主機網路介面組態，確認新建立的 veth 介面
# veth 介面以成對方式出現，一端在主機一端在容器內
ip addr show

# 列出所有網路命名空間，每個容器都擁有獨立的命名空間
# 網路命名空間提供網路資源的隔離機制
ip netns

# 在指定的網路命名空間中執行命令，檢視容器內的網路組態
# 這個命令展示容器內部看到的網路介面與 IP 位址
ip netns exec cni-df380fb0-b8a6-4f39-0d19-99a0535c2f2d ip addr show

# 檢視容器內的路由表設定
# 確認預設閘道指向橋接介面的 IP 位址
ip netns exec cni-df380fb0-b8a6-4f39-0d19-99a0535c2f2d ip route

# 檢視 NAT 表規則，觀察連接埠對映的實作機制
# DNAT 規則負責將主機連接埠的流量導向容器內部
iptables -L -t nat -n | grep -B4 10.88.0.3

# 檢視連接至橋接介面的所有 veth 裝置
# 確認容器的 veth pair 已正確連接至橋接網路
bridge link show cni-podman0

{
  "name": "netavark-example",
  "id": "d98700453f78ea2fdfe4a1f77eae9e121f3cbf4b6160dab89edf9ce23cb924d7",
  "driver": "bridge",
  "network_interface": "podman1",
  "created": "2022-02-17T21:37:59.873639361Z",
  "subnets": [
    {
      "subnet": "10.89.4.0/24",
      "gateway": "10.89.4.1"
    }
  ],
  "ipv6_enabled": false,
  "internal": false,
  "dns_enabled": true,
  "ipam_options": {
    "driver": "host-local"
  }
}

# 執行 Nginx 容器並使用 Netavark 網路後端
# 容器啟動時系統會自動建立必要的網路資源
podman run -d -p 8080:80 \
  --name nginx-netavark \
  docker.io/library/nginx

# 檢視主機網路介面，確認 podman0 橋接介面已建立
# 橋接介面作為容器網路的中心節點
ip addr show

# 列出網路命名空間，Netavark 使用 netns- 前綴命名
# 命名空間的 UID 提供唯一識別
ip netns

# 在容器的網路命名空間中檢視網路組態
# 確認容器獲得正確的 IP 位址與路由設定
ip netns exec netns-61a5f9f9-9dff-7488-3922-165cdc6cd320 ip addr show

# 檢視橋接介面連接的 veth 裝置清單
# 每個容器都會有對應的 veth pair 連接
bridge link show podman0

# 建立第一個測試端點容器
# --cap-add 選項授予網路管理權限，允許執行網路診斷工具
# net_admin 權限允許修改網路組態
# net_raw 權限允許使用原始套接字進行網路診斷
podman run -d --name endpoint1 \
  --cap-add=net_admin,net_raw \
  busybox /bin/sleep 10000

# 建立第二個測試端點容器，使用相同的權限設定
podman run -d --name endpoint2 \
  --cap-add=net_admin,net_raw \
  busybox /bin/sleep 10000

# 在 endpoint1 容器中追蹤至 endpoint2 的網路路徑
# traceroute 顯示封包經過的所有躍點
# 同網段通訊應該只有一個躍點，直達目標容器
podman exec -it endpoint1 traceroute 10.88.0.14

# 使用 ping 命令測試容器間的連通性
# 驗證封包是否能成功到達並返回
podman exec -it endpoint1 ping -c 4 10.88.0.14

# 檢視容器的網路組態資訊
# 確認容器的 IP 位址與網路設定
podman inspect endpoint1 --format '{{.NetworkSettings.Networks}}'

# 建立自訂網路 net1，指定子網路與閘道設定
# --driver bridge: 使用橋接模式作為網路驅動
# --gateway: 指定網路閘道的 IP 位址
# --subnet: 定義網路的子網路範圍，使用 CIDR 表示法
podman network create \
  --driver bridge \
  --gateway "10.90.0.1" \
  --subnet "10.90.0.0/16" \
  net1

# 建立連接至 net1 網路的容器
# --network 參數指定容器使用的網路
podman run -d --name endpoint3 \
  --network=net1 \
  --cap-add=net_admin,net_raw \
  busybox /bin/sleep 10000

# 從 endpoint1 追蹤至 endpoint3 的路由路徑
# 觀察封包如何經過閘道進行跨網段轉發
podman exec -it endpoint1 traceroute 10.90.0.2

# 檢視主機上的橋接介面清單
# 確認 net1 網路對應的橋接介面已建立
ip link show type bridge

# 檢視主機的路由表
# 觀察不同子網路的路由規則
ip route show

# 建立 PostgreSQL 資料庫容器
# DNS 解析允許其他容器使用 'db' 名稱連接
# -e 參數設定環境變數，組態資料庫認證資訊
podman run -d \
  --network net1 \
  --name db \
  -e POSTGRES_USER=admin \
  -e POSTGRES_PASSWORD=password \
  -e POSTGRES_DB=students \
  postgres

# 等待資料庫完全啟動並準備接受連線
sleep 10

# 將測試資料匯入資料庫
# 使用 exec -i 參數將標準輸入導向容器內的 psql 命令
cat db.sql | podman exec -i db psql -U admin students

# 執行 Web 應用程式容器
# 應用程式使用 'db' 主機名稱連接資料庫
# DNS 解析會自動將 'db' 解析為資料庫容器的 IP
podman run -d \
  --network net1 \
  -p 8080:8080 \
  --name webapp \
  students \
  students -host db -port 5432 \
  -username admin -password password

# 在 Web 應用容器中測試 DNS 解析
# nslookup 命令查詢 'db' 主機名稱的 IP 位址
podman exec webapp nslookup db

# 驗證 Web 應用程式能否成功連接資料庫
# 透過 curl 命令測試應用程式的 API 端點
curl http://localhost:8080/api/health

# 檢視容器的 IP 位址，用於驗證 DNS 解析結果
# --format 參數使用 Go 模板語法提取特定欄位
podman inspect db --format '{{.NetworkSettings.Networks.net1.IPAddress}}'
podman inspect webapp --format '{{.NetworkSettings.Networks.net1.IPAddress}}'

# 尋找系統上執行的 dnsmasq 程序
# grep 過濾出與容器網路相關的 dnsmasq 實例
ps aux | grep dnsmasq

# 檢視 dnsmasq 的組態檔案內容
# 組態檔案定義 DNS 服務的各項參數
cat /run/containers/cni/dnsname/net1/dnsmasq.conf

# 檢視 DNS 主機名稱與 IP 的對映檔案
# addnhosts 檔案包含所有容器的 DNS 記錄
cat /run/containers/cni/dnsname/net1/addnhosts

# 測試 DNS 解析功能
# 在容器內部查詢其他容器的 IP 位址
podman exec webapp nslookup db
podman exec webapp ping -c 2 db

# 檢視 aardvark-dns 容器的執行狀態
# Netavark 使用容器化的 DNS 服務
podman ps --filter name=aardvark

# 檢視 DNS 組態資訊
# Netavark 的 DNS 設定儲存在 JSON 格式檔案中
cat /run/containers/networks/aardvark-dns/net1

# 測試 DNS 解析功能
# 驗證容器名稱能正確解析為 IP 位址
podman exec webapp dig db +short
podman exec webapp host db

# 檢視容器的 /etc/resolv.conf 設定
# 確認 DNS 伺服器指向正確的位址
podman exec webapp cat /etc/resolv.conf

# 建立連接至預設網路的容器
podman run -d -p 8080:80 \
  --name net_example \
  docker.io/library/nginx

# 將容器動態連接至另一個網路
# 容器現在擁有兩個網路介面，分別連接不同網路
podman network connect example1 net_example

# 檢視容器的所有網路連接
# 確認容器已成功連接至兩個網路
podman inspect net_example --format '{{.NetworkSettings.Networks}}'

# 在容器內檢視所有網路介面
# 每個網路連接對應一個獨立的介面
podman exec net_example ip addr show

# 測試容器能否透過兩個網路介面通訊
# 驗證多網路連接的路由設定
podman exec net_example ip route show

# 列出所有可用的網路
# 顯示網路名稱、ID 與驅動程式類型
podman network ls

# 檢視特定網路的詳細組態
# 輸出完整的網路設定資訊
podman network inspect net1

# 檢查網路是否存在
# 返回值指示網路的存在狀態
podman network exists net1 && echo "網路存在"

# 移除未使用的網路
# 清理沒有容器連接的網路資源
podman network prune -f

# 重新載入容器的防火牆規則
# 當防火牆規則需要更新時使用
podman network reload

# 斷開容器與網路的連接
# 容器會失去對該網路的存取能力
podman network disconnect example1 net_example

# 刪除指定的網路
# 確保沒有容器使用該網路後才能刪除
podman network rm net1