Kaip veikia Docker tinklai - gilumoje?

Question

Accepted Answer

Docker teikia kelis **tinklo tvarkykles** (bridge, host, overlay, macvlan, none) skirtingoms ryšio poreikiams, be to, tokias funkcijas kaip **vartotojo apibrėžti tinklai** su DNS-remtu serviso atradimą. Gilus tinklo supratimas yra svarbus norint tinkamai sujungti kelių konteinerių ir kelių šeimininko programas.

## Tinklo tvarkyklės

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Vartotojo apibrėžti tinklai ir serviso atradimas

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Vartotojo apibrėžti tinklai suteikia **automatinį DNS-remtą serviso atradimą** (konteineriai pasiekia vienas kitą pagal vardą) ir geresnę izoliaciją nei numatytasis tiltas — rekomenduojamas daugelio konteinerių programų metodas.

## Tinklo izoliacija ir segmentacija

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Kodėl tai svarbu

Docker tinklo supratimas gilumoje yra svarbus **norint tinkamai ir saugiai sujungti kelių konteinerių ir kelių šeimininko programas**, todėl tai vertinga praktinė žinios, viršijanti pagrindus.

Žinojimas apie **tinklo tvarkykles** ir jų paskirtis — **bridge** (vieno šeimininko konteinerių komunikacija, naudojant vartotojo apibrėžtus tiltus pageidautina), **host** (tiesiogiai naudojant šeimininko tinklą dėl našumo, aukojant izoliaciją), **overlay** (apimantis kelis šeiminininkus, būtinas klasteriuotiems/Swarm diegimams, kai konteineriai skirtinguose kompiuteriuose turi bendrauti), **macvlan** (suteikiant konteineriams fizinius tinklo identitetus) ir **none** (pilna izoliacija) — leidžia pasirinkti tinkamą tinklo naudojimą kiekvienam scenarijui, nuo vieno šeimininko programų iki kelių šeimininko klasterių.

Supratimas apie **vartotojo apibrėžtus tinklus su DNS-remtu serviso atradimą** (konteineriai automatiškai pasiekia vienas kitą pagal vardą per Docker įterptą DNS) yra ypač svarbus, nes tai rekomenduojamas daugelio konteinerių programų metodas — leidžiantis grynai tarpusavio serviso komunikaciją pagal vardą be IP adresų valdymo ir suteikiantis geresnę izoliaciją nei numatytasis tiltas.

Žinojimas apie **tinklo izoliaciją ir segmentaciją** (konteinerių umiestimaą skirtinguose tinkluose, siekiant kontroliuoti, kas gali bendrauti, pvz., atskirdami priekinį ir užpakalinį tinklus, naudojant skelbtus prievadus kaip kontroliuojamą išorinę ribą) yra vertingas **saugumui** — sumažinus konteinerio pasiekiamumą, sumažėja atakų paviršius.

Kadangi tikros programos apima kelis bendraujančius konteinerius (ir kartais apima kelis šeiminininkus), o kadangi teisingas, saugus tinklas (tvarkyklių pasirinkimas, serviso atradimo naudojimas, tinklų segmentacija) yra būtinas joms tinkamai sujungti, supratimas apie Docker tinklą gilumoje — tvarkykles, vartotojo apibrėžtus tinklus su DNS serviso atradimą ir tinklo segmentaciją saugumui — yra vertinga, praktiškai aktuali žinios, reikalinga kurti tikras kontainerizuotas programas, svarbi tiek funkcionalumui (ryšiui), tiek saugumui (izoliacijai) kelių konteinerių ir paskirstytame diegime.