Kako Docker mreže funkcioniraju detaljno?

Question

Accepted Answer

Docker pruža nekoliko **mrežnih upravljača** (bridge, host, overlay, macvlan, none) za različite potrebe povezivanja, plus značajke kao što su **korisnički definirane mreže** s DNS-baziranim otkrivanjem usluga. Razumijevanje mrežnog dijela detaljno je važno za ispravno povezivanje aplikacija s više kontejnera i aplikacija na više domaćina.

## Mrežni upravljači

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Korisnički definirane mreže i otkrivanje usluga

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Korisnički definirane mreže pružaju **automatsko DNS-bazirano otkrivanje usluga** (kontejneri se međusobno dosežu po imenu) i bolju izolaciju od zadane bridge mreže — preporučeni pristup za aplikacije s više kontejnera.

## Mrežna izolacija i segmentacija

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Zašto je važno

Razumijevanje Docker mrežavanja detaljno je važno za **ispravno i sigurno povezivanje aplikacija s više kontejnera i aplikacija na više domaćina**, što je dragocjeno praktično znanje izvan osnova.

Znanje o **mrežnim upravljačima** i njihovim namjenama — **bridge** (komunikacija kontejnera na jednom domaćinu, pri čemu su korisnički definirane bridge mreže poželjne), **host** (direktna upotreba domaćinove mreže za performanse, žrtvujući izolaciju), **overlay** (premošćavanje više domaćina, bitno za implementacije u klasteru/Swarm-u gdje kontejneri na različitim domaćinima moraju komunicirati), **macvlan** (davanje fizičkih mrežnih identiteta kontejnerima) i **none** (potpuna izolacija) — omogućava vam da odaberete ispravno mrežavanje za svaki scenarij, od aplikacija na jednom domaćinu do klastera na više domaćina.

Razumijevanje **korisnički definiranih mreža s DNS-baziranim otkrivanjem usluga** (kontejneri automatski dosežu jedan drugoga po imenu putem Docker-ovog ugrađenog DNS-a) je osobito važno, jer je to preporučeni pristup za aplikacije s više kontejnera — omogućava čistu komunikaciju između usluga po imenu bez upravljanja IP adresama, te pruža bolju izolaciju od zadane bridge mreže.

Znanje o **mrežnoj izolaciji i segmentaciji** (postavljanje kontejnera na različite mreže za kontrolu što može komunicirati, npr. odvajanje mrežâ za sučelje i pozadinu, s objavljenim portima kao kontroliranom vanjskom granicom) je dragocjeno za **sigurnost** — ograničavanje dosegljivosti kontejnera smanjuje površinu napada.

S obzirom da stvarne aplikacije uključuju više međusobno komunicirajućih kontejnera (i ponekad se protežu na više domaćina), te s obzirom da je ispravno, sigurno mrežavanje (odabir upravljača, korištenje otkrivanja usluga, segmentacija mreža) bitno za njihovo ispravno povezivanje, razumijevanje Docker mrežavanja detaljno — upravljači, korisnički definirane mreže s DNS otkrivanjem usluga i segmentacija mreža za sigurnost — je dragocjeno, praktično relevantno znanje za razvoj stvarnih aplikacija u spremnama, važno za funkcionalnost (povezanost) i sigurnost (izolacija) u implementacijama s više kontejnera i distribuiranim implementacijama.