Hogyan működnek a Docker hálózatok részletesen?

Question

Accepted Answer

A Docker több **hálózati illesztőprogramot** (bridge, host, overlay, macvlan, none) biztosít különböző csatlakozási igényekhez, valamint olyan funkciókat, mint a **felhasználó által definiált hálózatok** DNS-alapú szolgáltatásfelderítéssel. A hálózatkezelés mélyreható megértése fontos a többtárolós és többgépes alkalmazások helyes csatlakoztatásához.

## Hálózati illesztőprogramok

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Felhasználó által definiált hálózatok és szolgáltatásfelderítés

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

A felhasználó által definiált hálózatok **automatikus DNS-alapú szolgáltatásfelderítést** biztosítanak (a tárolók név alapján érhetik el egymást) és jobb elkülönítést az alapértelmezett bridge-nél — ez az ajánlott megközelítés a többtárolós alkalmazásokhoz.

## Hálózati elkülönítés és szegmentálás

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Miért fontos

A Docker hálózatkezelés mélyreható megértése fontos a **többtárolós és többgépes alkalmazások helyes és biztonságos csatlakoztatásához**, így értékes gyakorlati tudás az alapokon túl.

A **hálózati illesztőprogramok** és azok céljainak ismerete — **bridge** (egy gépen futó tárolók közötti kommunikáció, ahol a felhasználó által definiált bridge-ek előnyben részesülnek), **host** (a gazda hálózat közvetlen használata teljesítmény érdekében, az elkülönítés feláldozásával), **overlay** (több gépen átívelő, elengedhetetlen a fürtözött/Swarm rendszerezéshez, ahol különböző gépeken futó tárolók kell kommunikáljanak), **macvlan** (fizikai hálózati identitásokat adva a tárolónak), és **none** (teljes elkülönítés) — lehetővé teszi a megfelelő hálózati megoldás kiválasztását az egyes forgatókönyvekhez, az egy gépres alkalmazásoktól a többgépes fürtökig.

A **felhasználó által definiált hálózatok DNS-alapú szolgáltatásfelderítéssel** való megértése (a tárolók automatikusan érhetik el egymást név alapján a Docker beágyazott DNS-én keresztül) különösen fontos, mivel ez az ajánlott megközelítés a többtárolós alkalmazásokhoz — lehetővé teszi a tiszta szolgáltatások közötti kommunikációt név alapján az IP-címek kezelése nélkül, és jobb elkülönítést biztosít az alapértelmezett bridge-nél.

A **hálózati elkülönítés és szegmentálás** ismerete (tárolók elhelyezése különböző hálózatokon a kommunikáció szabályozásához, például az előtér és háttér hálózatok szétválasztásával, a közzétett portok pedig az ellenőrzött külső határként) értékes a **biztonság** szempontjából — egy tároló elérhetőségének korlátozása csökkenti a támadási felületet.

Mivel a valós alkalmazások több kommunikáló tárolót tartalmaznak (és néha több gépre is kiterjednek), és mivel a helyes, biztonságos hálózatkezelés (illesztőprogramok kiválasztása, szolgáltatásfelderítés használata, hálózatok szegmentálása) elengedhetetlen azok megfelelő csatlakoztatásához, a Docker hálózatkezelés mélyreható megértése — az illesztőprogramok, a DNS szolgáltatásfelderítéssel rendelkező felhasználó által definiált hálózatok, valamint a biztonságot szolgáló hálózati szegmentálás — értékes, gyakorlati relevanciával bíró tudás a valós tárolósított alkalmazások építéséhez, fontos a többtárolós és elosztott rendszerezésekben a működés (csatlakoztatás) és a biztonság (elkülönítés) szempontjából.