Docker network ทำงานเชิงลึกอย่างไร?

Question

Accepted Answer

Docker ให้ **network driver** หลายชนิด (bridge, host, overlay, macvlan, none) สำหรับความต้องการการเชื่อมต่อที่ต่างกัน บวกกับฟีเจอร์อย่าง **user-defined network** ที่มี service discovery แบบอิง DNS การเข้าใจ networking เชิงลึกสำคัญต่อการเชื่อมต่อแอปพลิเคชันแบบหลาย container และหลาย host อย่างถูกต้อง

## Network driver

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## User-defined network และ service discovery

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

User-defined network ให้ **service discovery แบบอิง DNS อัตโนมัติ** (container เข้าถึงกันได้โดยใช้ชื่อ) และการแยกตัวที่ดีกว่า bridge ค่าเริ่มต้น — เป็นแนวทางที่แนะนำสำหรับแอปแบบหลาย container

## การแยกและการแบ่งส่วน network

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## ทำไมจึงสำคัญ

การเข้าใจ Docker networking เชิงลึกสำคัญต่อการ **เชื่อมต่อแอปพลิเคชันแบบหลาย container และหลาย host อย่างถูกต้องและปลอดภัย** จึงเป็นความรู้ปฏิบัติที่มีคุณค่าเกินกว่าระดับพื้นฐาน

การรู้ **network driver** และวัตถุประสงค์ของพวกมัน — **bridge** (การสื่อสารระหว่าง container บน host เดียว โดย user-defined bridge เป็นที่นิยมกว่า), **host** (ใช้ network ของ host โดยตรงเพื่อประสิทธิภาพ โดยยอมสละการแยกตัว), **overlay** (ครอบคลุมหลาย host จำเป็นสำหรับการ deploy แบบ cluster/Swarm ที่ container บนเครื่องต่างกันต้องสื่อสารกัน), **macvlan** (ให้ container มีตัวตนบน physical network) และ **none** (การแยกตัวสมบูรณ์) — ช่วยให้คุณเลือก networking ที่ถูกต้องสำหรับแต่ละสถานการณ์ ตั้งแต่แอปบน host เดียวไปจนถึง cluster หลาย host

การเข้าใจ **user-defined network ที่มี service discovery แบบอิง DNS** (container เข้าถึงกันได้โดยใช้ชื่ออัตโนมัติผ่าน DNS ในตัวของ Docker) สำคัญเป็นพิเศษ เพราะเป็นแนวทางที่แนะนำสำหรับแอปพลิเคชันแบบหลาย container — ทำให้การสื่อสารระหว่างบริการด้วยชื่อสะอาดโดยไม่ต้องจัดการ IP และให้การแยกตัวที่ดีกว่า bridge ค่าเริ่มต้น

การรู้เกี่ยวกับ **การแยกและการแบ่งส่วน network** (การวาง container บน network ต่างกันเพื่อควบคุมว่าอะไรสื่อสารกันได้ เช่นการแยก network frontend และ backend โดยมี published port เป็นขอบเขตภายนอกที่ควบคุมได้) มีคุณค่าต่อ **ความปลอดภัย** — การจำกัดการเข้าถึงของ container ลดพื้นที่โจมตี

เนื่องจากแอปพลิเคชันจริงเกี่ยวข้องกับ container ที่สื่อสารกันหลายตัว (และบางครั้งครอบคลุมหลาย host) และเนื่องจาก networking ที่ถูกต้องและปลอดภัย (การเลือก driver, การใช้ service discovery, การแบ่งส่วน network) จำเป็นต่อการเชื่อมต่อพวกมันอย่างเหมาะสม การเข้าใจ Docker networking เชิงลึก — driver, user-defined network ที่มี DNS service discovery และการแบ่งส่วน network เพื่อความปลอดภัย — จึงเป็นความรู้ที่มีคุณค่าและเกี่ยวข้องในทางปฏิบัติสำหรับการสร้างแอปพลิเคชันที่ทำเป็น container จริง สำคัญทั้งต่อการทำงาน (การเชื่อมต่อ) และความปลอดภัย (การแยกตัว) ในการ deploy แบบหลาย container และแบบกระจาย