Jak działają sieci Docker na głębokim poziomie?

Question

Accepted Answer

Docker udostępnia kilka **sterowników sieciowych** (bridge, host, overlay, macvlan, none) dla różnych potrzeb połączeń, plus funkcje takie jak **sieci zdefiniowane przez użytkownika** z wyszukiwaniem usług opartym na DNS. Zrozumienie sieci na głębokim poziomie jest ważne dla prawidłowego łączenia aplikacji wielokonteneru i wielohosta.

## Sterowniki sieci

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Sieci zdefiniowane przez użytkownika i wyszukiwanie usług

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Sieci zdefiniowane przez użytkownika zapewniają **automatyczne wyszukiwanie usług oparte na DNS** (kontenery osiągają się nawzajem po nazwie) i lepszą izolację niż domyślny most — zalecane podejście dla aplikacji wielokonteneru.

## Izolacja i segmentacja sieci

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Dlaczego to ważne

Zrozumienie sieci Docker na głębokim poziomie jest ważne dla **prawidłowego i bezpiecznego łączenia aplikacji wielokonteneru i wielohosta**, dlatego jest to cenna praktyczna wiedza poza podstawami.

Znajomość **sterowników sieciowych** i ich celów — **bridge** (komunikacja konteneru na jednym hoście, przy czym mosty zdefiniowane przez użytkownika są preferowane), **host** (bezpośrednie użycie sieci hosta dla wydajności, poświęcając izolację), **overlay** (rozciągające się na wiele hostów, niezbędne dla wdrożeń klastrowanych/Swarm, gdzie kontenery na różnych maszynach muszą się komunikować), **macvlan** (dające kontenerom tożsamości sieci fizycznej) i **none** (pełna izolacja) — pozwala wybrać odpowiednią sieć dla każdego scenariusza, od aplikacji na jednym hoście do klastrów wielohostowych.

Zrozumienie **sieci zdefiniowanych przez użytkownika z wyszukiwaniem usług opartym na DNS** (kontenery automatycznie osiągające się nawzajem po nazwie za pośrednictwem wbudowanego DNS Docker) jest szczególnie ważne, ponieważ jest to zalecane podejście dla aplikacji wielokonteneru — umożliwia czystą komunikację usługa-do-usługi po nazwie bez zarządzania adresami IP i zapewnia lepszą izolację niż domyślny most.

Znajomość **izolacji i segmentacji sieci** (umieszczanie kontenery w różnych sieciach w celu kontroli tego, co może się komunikować, np. oddzielenie sieci front-end i back-end, z portami opublikowanymi jako kontrolowana granica zewnętrzna) jest cenne dla **bezpieczeństwa** — ograniczenie osiągalności kontenera zmniejsza powierzchnię ataku.

Ponieważ rzeczywiste aplikacje obejmują wiele komunikujących się kontenery (a czasem rozciągają się na wiele hostów) i ponieważ prawidłowa, bezpieczna sieć (wybór sterowników, użycie wyszukiwania usług, segmentacja sieci) jest niezbędna do ich prawidłowego połączenia, zrozumienie sieci Docker na głębokim poziomie — sterowniki, sieci zdefiniowane przez użytkownika z wyszukiwaniem usług DNS i segmentacja sieci dla bezpieczeństwa — jest cenną, praktycznie istotną wiedzą do budowania rzeczywistych aplikacji konteneryzowanych, ważną zarówno dla funkcjonalności (połączenie) jak i bezpieczeństwa (izolacja) we wdrożeniach wielokonteneru i rozproszonych.