Hoe werken Docker-netwerken in detail?

Question

Accepted Answer

Docker biedt verschillende **netwerkstuurprogramma's** (bridge, host, overlay, macvlan, none) voor verschillende connectiviteitsbehoeften, plus functies zoals **door gebruikers gedefinieerde netwerken** met DNS-gebaseerde servicediscovery. Het begrijpen van netwerken in detail is belangrijk voor het correct verbinden van multi-container en multi-host applicaties.

## Netwerkstuurprogramma's

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Door gebruikers gedefinieerde netwerken en servicediscovery

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Door gebruikers gedefinieerde netwerken bieden **automatische DNS-gebaseerde servicediscovery** (containers bereiken elkaar op naam) en betere isolatie dan de standaardbrug — de aanbevolen benadering voor multi-container apps.

## Netwerkisolatie en segmentatie

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Waarom het belangrijk is

Het begrijpen van Docker-netwerken in detail is belangrijk voor **het correct en veilig verbinden van multi-container en multi-host applicaties**, dus het is waardevolle praktische kennis buiten de basisprincipes.

Het kennen van de **netwerkstuurprogramma's** en hun doeleinden — **bridge** (communicatie tussen containers op één host, waarbij door gebruikers gedefinieerde bruggen de voorkeur hebben), **host** (rechtstreeks gebruik van het hostnetwerk voor prestaties, ten koste van isolatie), **overlay** (spanning meerdere hosts, essentieel voor geclusterde/Swarm-implementaties waarbij containers op verschillende machines moeten communiceren), **macvlan** (gegeven containers fysieke netwerkidentiteiten), en **none** (volledige isolatie) — stelt u in staat het juiste netwerk voor elk scenario te kiezen, van apps met één host tot multi-host clusters.

Het begrijpen van **door gebruikers gedefinieerde netwerken met DNS-gebaseerde servicediscovery** (containers die elkaar automatisch op naam bereiken via Docker's ingebouwde DNS) is bijzonder belangrijk, omdat het de aanbevolen benadering voor multi-container applicaties is — het mogelijk maken van schone service-to-service communicatie op naam zonder IP-adressen te beheren, en betere isolatie bieden dan de standaardbrug.

Het kennen van **netwerkisolatie en segmentatie** (containers op verschillende netwerken plaatsen om te bepalen wat kan communiceren, bijv. scheiding van frontend en backend netwerken, met gepubliceerde poorten als gecontroleerde externe grens) is waardevol voor **beveiliging** — het beperken van de bereikbaarheid van een container verkleint de aanvalsoppervlak.

Aangezien echte applicaties meerdere communicerende containers betreffen (en soms meerdere hosts omvatten), en aangezien juiste, veilige netwerking (het kiezen van stuurprogramma's, het gebruik van servicediscovery, de segmentatie van netwerken) essentieel is voor het correct verbinden ervan, het begrijpen van Docker-netwerken in detail — de stuurprogramma's, door gebruikers gedefinieerde netwerken met DNS-servicediscovery en netwerkSegmentatie voor beveiliging — is waardevolle, praktisch relevante kennis voor het bouwen van echte containerized applicaties, belangrijk voor zowel functionaliteit (connectiviteit) als beveiliging (isolatie) in multi-container en gedistribueerde implementaties.