Hur fungerar Docker-nätverk på djupet?

Question

IT Interview Practice · Accepted Answer

Docker tillhandahåller flera **nätverksdrivrutiner** (bridge, host, overlay, macvlan, none) för olika anslutningsbehov, plus funktioner som **användardefinierade nätverk** med DNS-baserad tjänstupptäckning. Att förstå nätverk på djupet är viktigt för att koppla samman program med flera containrar och flera värdar korrekt.

## Nätverksdrivrutiner

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Användardefinierade nätverk och tjänstupptäckning

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Användardefinierade nätverk tillhandahåller **automatisk DNS-baserad tjänstupptäckning** (containrar når varandra efter namn) och bättre isolering än standardbryggan — den rekommenderade metoden för program med flera containrar.

## Nätverksisolering och segmentering

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Varför det är viktigt

Att förstå Docker-nätverk på djupet är viktigt för att **koppla samman program med flera containrar och flera värdar på ett korrekt och säkert sätt**, så det är värdefullt praktiskt kunnande bortom grunderna.

Att känna till **nätverksdrivrutinerna** och deras syften — **bridge** (kommunikation mellan containrar på en enda värd, med användardefinierade bryggor som föredras), **host** (användning av värdnätverket direkt för prestanda, med offrad isolering), **overlay** (sträcker sig över flera värdar, essentiell för klustrade/Swarm-distributioner där containrar på olika maskiner måste kommunicera), **macvlan** (ger containrar fysiska nätverksidentiteter) och **none** (fullständig isolering) — låter dig välja rätt nätverk för varje scenario, från program på en enda värd till kluster med flera värdar.

Att förstå **användardefinierade nätverk med DNS-baserad tjänstupptäckning** (containrar når automatiskt varandra efter namn via Dockers inbäddade DNS) är särskilt viktigt, eftersom det är den rekommenderade metoden för program med flera containrar — möjliggör ren tjänst-till-tjänst-kommunikation efter namn utan att hantera IP-adresser, och ger bättre isolering än standardbryggan.

Att veta om **nätverksisolering och segmentering** (placering av containrar på olika nätverk för att kontrollera vad som kan kommunicera, t.ex. separering av frontend- och backend-nätverk, med publicerade portar som den kontrollerade externa gränsen) är värdefullt för **säkerhet** — begränsning av en containers räckvidd minskar attackytan.

Eftersom verkliga program involverar flera kommunicerande containrar (och ibland sträcker sig över flera värdar), och eftersom korrekt, säkert nätverk (val av drivrutiner, användning av tjänstupptäckning, segmentering av nätverk) är väsentligt för att koppla dem på rätt sätt, är förståelse för Docker-nätverk på djupet — drivrutinerna, användardefinierade nätverk med DNS-tjänstupptäckning och nätverkssegmentering för säkerhet — värdefullt, praktiskt relevant kunnande för att bygga verkliga containeriserade program, viktigt för både funktionalitet (anslutning) och säkerhet (isolering) i distributioner med flera containrar och distribuerade system.

Nätverksdrivrutiner

Användardefinierade nätverk och tjänstupptäckning

Nätverksisolering och segmentering

Varför det är viktigt

Relaterade frågor