Hvordan fungerer Docker-netværk i dybden?

Question

Accepted Answer

Docker tilbyder flere **netværksdrivere** (bridge, host, overlay, macvlan, none) til forskellige konnektivitetsbehov, plus funktioner som **brugerdefinerede netværk** med DNS-baseret tjenesteopdagelse. Forståelse af netværk i dybden er vigtig for korrekt tilslutning af multi-container- og multi-host-applikationer.

## Netværksdrivere

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Brugerdefinerede netværk og tjenesteopdagelse

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Brugerdefinerede netværk giver **automatisk DNS-baseret tjenesteopdagelse** (containere når hinanden ved navn) og bedre isolation end standard-bridge — den anbefalede tilgang til multi-container-apps.

## Netværksisolation og segmentering

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Hvorfor det betyder noget

Forståelse af Docker-netværk i dybden er vigtig for **korrekt og sikkert at forbinde multi-container- og multi-host-applikationer**, så det er værdifuld praktisk viden ud over det grundlæggende.

At kende **netværksdriverne** og deres formål — **bridge** (single-host-container-kommunikation, hvor brugerdefinerede bridges foretrækkes), **host** (direkte brug af værtsnetværk for ydelse, ofrer isolation), **overlay** (spænder over flere værter, essentielt for clustered/Swarm-implementeringer hvor containere på forskellige maskiner må kommunikere), **macvlan** (giver containere fysiske netværksidentiteter), og **none** (fuld isolation) — giver dig mulighed for at vælge det rigtige netværk til hver scenario, fra single-host-apps til multi-host-clusters.

Forståelse af **brugerdefinerede netværk med DNS-baseret tjenesteopdagelse** (containere når automatisk hinanden ved navn via Dockers indlejrede DNS) er særligt vigtig, da det er den anbefalede tilgang til multi-container-applikationer — muliggør ren service-til-service-kommunikation ved navn uden at styre IP-adresser, og giver bedre isolation end standard-bridge.

At vide om **netværksisolation og segmentering** (placering af containere på forskellige netværk for at styre hvad der kan kommunikere, f.eks. at adskille frontend- og backend-netværk, med publicerede porte som den kontrollerede eksterne grænse) er værdifuldt for **sikkerhed** — begrænsning af en containers nåbarhed reducerer angrebsflade.

Da rigtige applikationer involverer flere kommunikerende containere (og nogle gange spænder over flere værter), og da korrekt, sikker netværk (valg af drivere, brug af tjenesteopdagelse, segmentering af netværk) er essentielt for at forbinde dem korrekt, er forståelse af Docker-netværk i dybden — driverne, brugerdefinerede netværk med DNS-tjenesteopdagelse, og netværksegmentering for sikkerhed — værdifuld, praktisk relevant viden for at bygge rigtige containeriserede applikationer, vigtig for både funktionalitet (forbindelse) og sikkerhed (isolation) i multi-container- og distribuerede implementeringer.