Wie funktionieren Docker-Netzwerke im Detail?

Question

Accepted Answer

Docker bietet mehrere **Netzwerk-Treiber** (bridge, host, overlay, macvlan, none) für unterschiedliche Konnektivitätsanforderungen sowie Features wie **benutzerdefinierte Netzwerke** mit DNS-basierter Serviceerkennung. Das Verstehen von Netzwerken im Detail ist wichtig, um Multi-Container- und Multi-Host-Anwendungen richtig zu verbinden.

## Netzwerk-Treiber

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Benutzerdefinierte Netzwerke und Serviceerkennung

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Benutzerdefinierte Netzwerke bieten **automatische DNS-basierte Serviceerkennung** (Container erreichen sich gegenseitig über Namen) und bessere Isolation als das Standard-Bridge-Netzwerk — der empfohlene Ansatz für Multi-Container-Anwendungen.

## Netzwerk-Isolation und Segmentierung

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Warum es wichtig ist

Das Verstehen von Docker-Netzwerken im Detail ist wichtig, um **Multi-Container- und Multi-Host-Anwendungen korrekt und sicher zu verbinden**, daher ist es wertvollen praktisches Wissen über die Grundlagen hinaus.

Das Kennen der **Netzwerk-Treiber** und ihrer Zwecke — **bridge** (Single-Host-Container-Kommunikation, wobei benutzerdefinierte Bridges bevorzugt werden), **host** (direkte Nutzung des Host-Netzwerks für Performance, mit Isolation-Kompromiss), **overlay** (über mehrere Hosts verteilt, essentiell für geclusterte/Swarm-Deployments, bei denen Container auf verschiedenen Maschinen kommunizieren müssen), **macvlan** (gibt Containern physische Netzwerk-Identitäten), und **none** (vollständige Isolation) — ermöglicht es Ihnen, das richtige Netzwerk für jedes Szenario zu wählen, von Single-Host-Anwendungen bis zu Multi-Host-Clustern.

Das Verstehen von **benutzerdefinierten Netzwerken mit DNS-basierter Serviceerkennung** (Container erreichen sich automatisch gegenseitig über Namen über Dockers eingebettetes DNS) ist besonders wichtig, da es der empfohlene Ansatz für Multi-Container-Anwendungen ist — es ermöglicht saubere Service-zu-Service-Kommunikation nach Namen, ohne IPs verwalten zu müssen, und bietet bessere Isolation als das Standard-Bridge-Netzwerk.

Das Wissen über **Netzwerk-Isolation und Segmentierung** (Container auf verschiedene Netzwerke platzieren, um zu kontrollieren, was kommunizieren kann, z.B. Trennung von Frontend- und Backend-Netzwerken, mit veröffentlichten Ports als kontrollierte externe Grenze) ist wertvoll für **Sicherheit** — das Einschränken der Erreichbarkeit eines Containers reduziert die Angriffsfläche.

Da echte Anwendungen mehrere kommunizierende Container beinhalten (und manchmal mehrere Hosts umfassen) und da korrekte, sichere Netzwerkgestaltung (Auswahl von Treibern, Verwendung von Serviceerkennung, Segmentierung von Netzwerken) essentiell ist, um sie richtig zu verbinden, ist das Verstehen von Docker-Netzwerken im Detail — die Treiber, benutzerdefinierte Netzwerke mit DNS-Serviceerkennung und Netzwerk-Segmentierung für Sicherheit — wertvollen, praktisch relevantes Wissen zum Erstellen echter containerisierter Anwendungen, wichtig für Funktionalität (Konnektivität) und Sicherheit (Isolation) in Multi-Container- und verteilten Deployments.