Jak fungují Docker sítě do hloubky?

Question

Accepted Answer

Docker poskytuje několik **síťových ovladačů** (bridge, host, overlay, macvlan, none) pro různé potřeby připojení, plus funkce jako **uživatelem definované sítě** s DNS-based service discovery. Pochopení sítí do hloubky je důležité pro správné připojení aplikací s více kontejnery a více hostiteli.

## Síťové ovladače

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Uživatelem definované sítě a service discovery

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Uživatelem definované sítě poskytují **automatické DNS-based service discovery** (kontejnery se dosáhnou navzájem podle názvu) a lepší izolaci než výchozí bridge — doporučený přístup pro aplikace s více kontejnery.

## Izolace sítě a segmentace

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Proč na tom záleží

Pochopení Docker sítí do hloubky je důležité pro **správné a bezpečné připojení aplikací s více kontejnery a více hostiteli**, takže je to cenné praktické znalosti mimo základy.

Znalost **síťových ovladačů** a jejich účelů — **bridge** (komunikace kontejnerů v jednom hostiteli, přičemž se upřednostňují uživatelem definované bridges), **host** (přímé používání hostitelské sítě pro výkon, obětování izolace), **overlay** (rozprostírající se přes více hostitelů, nezbytné pro nasazení Swarmu, kde musí kontejnery na různých strojích komunikovat), **macvlan** (dávání kontejnerům fyzických identit sítě) a **none** (úplná izolace) — vám umožňuje zvolit správné sítě pro každý scénář, od aplikací s jedním hostitelem až po vícehostitelské klastry.

Pochopení **uživatelem definovaných sítí s DNS-based service discovery** (kontejnery se automaticky dosáhnou navzájem podle názvu přes vestavěný DNS serveru Dockeru) je zvláště důležité, protože je to doporučený přístup pro aplikace s více kontejnery — umožňuje čistou komunikaci mezi službami podle názvu bez správy IP adres a poskytuje lepší izolaci než výchozí bridge.

Znalost o **izolaci sítě a segmentaci** (umístění kontejnerů na různé sítě pro kontrolu toho, co může komunikovat, např. oddělení frontend a backend sítí, se publikovanými porty jako kontrolovanou externí hranicí) je cenná pro **bezpečnost** — omezení dosahu kontejneru snižuje útočnou plochu.

Protože skutečné aplikace zahrnují více komunikujících kontejnerů (a někdy se rozprostírají přes více hostitelů) a protože správné, bezpečné sítě (volba ovladačů, používání service discovery, segmentace sítí) jsou nezbytné pro jejich správné připojení, pochopení Docker sítí do hloubky — ovladačů, uživatelem definovaných sítí s DNS service discovery a segmentace sítí pro bezpečnost — je cenná, prakticky relevantní znalost pro budování skutečných kontejnerizovaných aplikací, důležitá jak pro funkčnost (připojení) tak pro bezpečnost (izolace) v nasazeních s více kontejnery a distribuovanými systémy.