Docker ağları derinlemesine nasıl çalışır?

Question

Accepted Answer

Docker, farklı bağlantı ihtiyaçları için birden fazla **network driver** (bridge, host, overlay, macvlan, none) sağlar. Ayrıca DNS tabanlı hizmet keşfi ile **kullanıcı tanımlı ağlar** gibi özellikler sunar. Çok konteynerli ve çok hostlu uygulamaları doğru şekilde bağlamak için ağları derinlemesine anlamak önemlidir.

## Network driver'ları

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## Kullanıcı tanımlı ağlar ve hizmet keşfi

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

Kullanıcı tanımlı ağlar **otomatik DNS tabanlı hizmet keşfi** sağlar (konteynerler birbirlerine adla ulaşabilir) ve varsayılan bridge'den daha iyi yalıtım sunar — çok konteynerli uygulamalar için önerilen yöntemdir.

## Ağ yalıtımı ve segmentasyonu

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## Neden önemli

Docker ağlarını derinlemesine anlamak, **çok konteynerli ve çok hostlu uygulamaları doğru ve güvenli şekilde bağlamak için önemlidir** ve temel bilginin ötesinde pratik bir bilgidir.

**Network driver'larını** ve bunların amaçlarını bilmek — **bridge** (tek hostlu kontainer iletişimi, kullanıcı tanımlı bridge'ler tercih edilir), **host** (performans için host ağını doğrudan kullanır, yalıtımdan ödün verir), **overlay** (birden fazla hostu kapsayan, farklı makinelerdeki konteynerler arası iletişimin gerekli olduğu clustered/Swarm dağıtımları için önemli), **macvlan** (konteynerler fiziksel ağ kimliğine sahip olur) ve **none** (tam yalıtım) — her senaryo için doğru ağ seçmenizi sağlar, tek hostlu uygulamalardan çok hostlu clusterlara kadar.

**DNS tabanlı hizmet keşfi ile kullanıcı tanımlı ağları** anlamak (konteynerler Docker'ın gömülü DNS'i aracılığıyla otomatik olarak birbirlerine adla ulaşır) özellikle önemlidir, çünkü bu çok konteynerli uygulamalar için önerilen yöntemdir — IP yönetimi olmadan adla hizmet arası iletişimi sağlar ve varsayılan bridge'den daha iyi yalıtım sunar.

**Ağ yalıtımı ve segmentasyonu** hakkında bilmek (konteynerler farklı ağlara yerleştirerek iletişimi kontrol etmek, örneğin frontend ve backend ağlarını ayırmak, yayınlanan portlar kontrollü dış sınır olarak) **güvenlik** için değerlidir — bir konteyner'in erişilebilirliğini sınırlamak saldırı yüzeyini azaltır.

Gerçek uygulamalar birden fazla iletişim kuran konteyner içerdiğinden (ve bazen birden fazla hostu kapsadığından) ve doğru, güvenli ağ oluşturma (driver'ları seçmek, hizmet keşfi kullanmak, ağları segmentlemek) bunları doğru şekilde bağlamak için gerekli olduğundan, Docker ağlarını derinlemesine anlamak — driver'lar, DNS hizmet keşfi ile kullanıcı tanımlı ağlar ve güvenlik için ağ segmentasyonu — gerçek containerleştirilmiş uygulamalar oluşturmak için değerli, pratik ilgili bir bilgidir ve çok konteynerli ve dağıtılmış dağıtımlarda hem işlevsellik (bağlantı) hem de güvenlik (yalıtım) için önemlidir.