Kuinka Docker-verkot toimivat syvällisesti?

Question

Accepted Answer

Docker tarjoaa useita **verkkoajureita** (bridge, host, overlay, macvlan, none) eri yhteystarpeisiin sekä ominaisuuksia, kuten **käyttäjän määrittämät verkot** DNS-pohjaisen palvelun löytämisen kanssa. Verkkotoiminnallisuuden syvällinen ymmärtäminen on tärkeää monesta säiliöstä ja useista isännistä koostuvien sovellusten yhdistämiseksi oikein.

## Verkkoajurit

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Käyttäjän määrittämät verkot ja palvelun löytäminen

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Käyttäjän määrittämät verkot tarjoavat **automaattisen DNS-pohjaisen palvelun löytämisen** (säiliöt tavoittavat toisensa nimen perusteella) ja paremman eristymisen kuin oletusilta — suositeltava lähestymistapa monesta säiliöstä koostuville sovelluksille.

## Verkon eristäminen ja segmentointi

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Miksi se on tärkeää

Docker-verkkotoiminnallisuuden syvällinen ymmärtäminen on tärkeää **monesta säiliöstä ja useista isännistä koostuvien sovellusten yhdistämiseksi oikein ja turvallisesti**, joten se on arvokasta käytännöllistä tietoa perusteiden lisäksi.

**Verkkoajurien** ja niiden tarkoitusten tunteminen — **bridge** (yhden isännän säiliöiden välinen kommunikaatio, käyttäjän määrittämät sillan uudet reitit ovat parempi vaihtoehto), **host** (isännän verkon suora käyttäminen suorituskyvyn vuoksi, eristymisen kustannuksella), **overlay** (useiden isäntien kattavat verkot, olennainen klusteroituihin/Swarm-käyttöönotoihin joissa eri koneiden säiliöiden on kommunikoitava), **macvlan** (säiliöille fyysisen verkon identiteetit) ja **none** (täydellinen eristyminen) — antaa sinulle mahdollisuuden valita oikea verkko jokaiseen tilanteeseen, yksittäisen isännän sovelluksista monista isännöistä koostuviin klustereihin.

**Käyttäjän määrittämät verkot DNS-pohjaisella palvelun löytämisellä** (säiliöt tavoittavat automaattisesti toisensa nimen perusteella Dockerin sisäisen DNS:n kautta) on erityisen tärkeää, koska se on suositeltava lähestymistapa monesta säiliöstä koostuville sovelluksille — mahdollistaen puhtaan palvelu-palvelu kommunikaation nimen perusteella ilman IP-osoitteiden hallitsemista, ja tarjoaen paremman eristymisen kuin oletusilta.

**Verkon eristämisen ja segmentoinnin** tunteminen (säiliöiden sijoittaminen eri verkkoihin, jotta voidaan hallita mikä voi kommunikoida, esim. etupään ja taustapään verkkojen erottaminen, julkaistut portit hallittuna ulkorajana) on arvokasta **turvallisuuden** kannalta — säiliön saavutettavuuden rajoittaminen vähentää hyökkäyspintaa.

Koska todelliset sovellukset sisältävät useita kommunikoivia säiliöitä (ja joskus ulottuvat useiden isäntien yli), ja koska oikea, turvallinen verkko (ajurien valinta, palvelun löytämisen käyttäminen, verkkojen segmentointi) on välttämätöntä niiden yhdistämiseksi oikein, Docker-verkkotoiminnallisuuden syvällinen ymmärtäminen — ajurit, käyttäjän määrittämät verkot DNS-palvelun löytämisen kanssa ja verkkojen segmentointi turvallisuudelle — on arvokasta, käytännössä relevanttia tietoa todellis(t)en kontisoitujen sovellusten rakentamiseen, tärkeää sekä toiminnallisuudelle (yhteys) että turvallisuudelle (eristyminen) monesta säiliöstä koostuvissa ja hajautetuissa käyttöönotoissa.