როგორ ფუნქციონირებს Docker ქსელები დეტალურად?

Question

Accepted Answer

Docker უზრუნველყოფს რამდენიმე **ქსელის დრაივერს** (bridge, host, overlay, macvlan, none) სხვადსხვა კონექტივობის საჭიროებისთვის, ასევე მახასიათებელებს, როგორიცაა **მომხმარებლის მიერ განსაზღვრული ქსელები** DNS-ის საფუძველზე სერვისის აღმოჩენის ფუნქციონალობით. ქსელის მოწყობილობის ღრმა გაგება მნიშვნელოვანია მულტი-კონტეინერი და მულტი-ჰოსტი აპლიკაციების სწორად დასაკავშირებლად.

## ქსელის დრაივერები

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## მომხმარებლის მიერ განსაზღვრული ქსელები და სერვისის აღმოჩენა

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

მომხმარებლის მიერ განსაზღვრული ქსელები უზრუნველყოფენ **ავტომატურ DNS-ის საფუძველზე სერვისის აღმოჩენას** (კონტეინერები ერთმანეთს სახელით ხვდებიან) და უკეთეს იზოლაციას, ვიდრე ნაგულისხმევი bridge — რეკომენდებული მიდგომა მულტი-კონტეინერი აპლიკაციებისთვის.

## ქსელის იზოლაცია და სეგმენტაცია

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## რატომ აქვს ეს მნიშვნელობა

Docker ქსელის გრმა გაგება მნიშვნელოვანია **მულტი-კონტეინერი და მულტი-ჰოსტი აპლიკაციების სწორ და უსაფრთხოდ დასაკავშირებლად**, ამიტომ ეს ღირებული პრაქტიკული ცოდნაა ძირითადი დონის მიღმა.

**ქსელის დრაივერების** და მათი დანიშვულების ცოდნა — **bridge** (ერთი-ჰოსტის კონტეინერის კომუნიკაცია, მომხმარებლის მიერ განსაზღვრული bridge-ები უპირატესი), **host** (ჰოსტის ქსელის პირდაპირი გამოყენება საკმაოდ მოცემულობის ხარჯზე, იზოლაციის გამოტეხვა), **overlay** (რამდენიმე ჰოსტის დაფარვა, აუცილებელი მოკლე/Swarm განლაგებისთვის, სადაც სხვადსხვა მেშინების კონტეინერებმა უნდა დაკავშირდნენ), **macvlan** (კონტეინერებს ფიზიკური ქსელის იდენტობის მიცემა), და **none** (სრული იზოლაცია) — საშუალებას გაძლევთ აირჩიოთ სწორი ქსელი თითოეული სცენარიისთვის, ერთი-ჰოსტი აპლიკაციებიდან მულტი-ჰოსტი კლასტერებამდე.

**მომხმარებლის მიერ განსაზღვრული ქსელების გაგება DNS-ის საფუძველზე სერვისის აღმოჩენით** (კონტეინერები ავტომატურად ერთმანეთს ქვიშით ხვდებიან Docker-ის ჩაშენებული DNS-ის საშუალებით) განსაკუთრებით მნიშვნელოვანია, რადგან ეს რეკომენდებული მიდგომაა მულტი-კონტეინერი აპლიკაციებისთვის — საშუალებას ჰქმნის სუფთა სერვის-ტო-სერვის კომუნიკაციას სახელით IP-ების მართვის გარეშე, და უზრუნველყოფს უკეთეს იზოლაციას ვიდრე ნაგულისხმევი bridge.

**ქსელის იზოლაციის და სეგმენტაციის** შესახებ ცოდნა (კონტეინერების სხვადსხვა ქსელებზე განთავსება, რომელიმე შეიძლება დაკავშირდეს კონტროლის მქეშ, მაგალითად წინა-ფრონტი და ბეკ-ენდი ქსელების განცალკევება, გამოქვეყნებული პორტებით როგორც კონტროლირებული გარე საზღვარი) ღირებული **უსაფრთხოების** უზრუნველყოფის საბაბით — კონტეინერის მიღწევადობის შემცირება იკლებს თავდასხმის ზედაპირს.

მას შემდეგ, რაც ნამდვილი აპლიკაციები მოიცავს რამდენიმე ურთიერთკავშირი კონტეინერს (და ზოგჯერ რამდენიმე ჰოსტის გაწიერებას), და რადგან სწორი, უსაფრთხო ქსელი (დრაივერების არჩევა, სერვის აღმოჩენის გამოყენება, ქსელების სეგმენტაცია) აუცილებელია მათ სწორად დასაკავშირებლად, Docker ქსელის გრმა გაგება — დრაივერები, მომხმარებლის მიერ განსაზღვრული ქსელები DNS სერვის აღმოჩენით, და ქსელის სეგმენტაცია უსაფრთხოების জন্য — ღირებული, პრაქტიკულად აქტუალური ცოდნაა რეალური კონტეინერული აპლიკაციების აგებისთვის, მნიშვნელოვანი ფუნქციონალურობისთვის (კონექტივობა) და უსაფრთხოების (იზოლაცია) თვალსაზრისით მულტი-კონტეინერი და განაწილებული განლაგებებში.