Docker 网络如何深入工作？

Question

Docker 网络如何深入工作？

Accepted Answer

Docker 提供多个**网络驱动程序**（bridge、host、overlay、macvlan、none），用于满足不同的连接需求，以及**用户定义网络**等功能，具有基于 DNS 的服务发现。深入理解网络对于正确连接多容器和多主机应用程序很重要。

## 网络驱动程序

```text
BRIDGE (default) → a private internal network on a single host; containers communicate;
  isolated from the host except via published ports. USER-DEFINED bridges add DNS
  (containers reach each other by name) — preferred over the default bridge.
HOST → the container uses the host's network stack directly (no isolation, no port
  mapping needed) — max performance, less isolation.
OVERLAY → spans MULTIPLE hosts → containers on different machines communicate
  (for Docker Swarm / multi-host clusters).
MACVLAN → gives a container its own MAC/IP on the physical network (appears as a
  physical device).
NONE → no networking (fully isolated).
```

## 用户定义网络和服务发现

```bash
docker network create app-net
docker run -d --name db --network app-net postgres
docker run -d --name api --network app-net myapi
# → on a user-defined network, Docker's embedded DNS resolves container NAMES
#   the "api" reaches the database at hostname "db" → automatic service discovery
```

用户定义网络提供**基于自动 DNS 的服务发现**（容器通过名称相互到达）和比默认 bridge 更好的隔离——这是多容器应用程序的推荐方法。

## 网络隔离和分段

```text
→ Containers can be placed on DIFFERENT networks to isolate them (segmentation):
  e.g. a frontend network and a backend network; only certain containers bridge both
→ Improves security (a container only reaches what it's networked with)
→ Published ports (-p) are the controlled boundary to the outside world
```

## 为什么这很重要

深入理解 Docker 网络对于**正确和安全地连接多容器和多主机应用程序**很重要，因此这是超越基础知识的宝贵实践知识。

了解**网络驱动程序**及其用途——**bridge**（单主机容器通信，优先使用用户定义的网桥）、**host**（直接使用主机网络以获得性能，牺牲隔离）、**overlay**（跨多个主机，对于集群/Swarm 部署至关重要，其中不同机器上的容器必须通信）、**macvlan**（为容器提供物理网络身份）和**none**（完全隔离）——使您能够为每个场景选择正确的网络，从单主机应用程序到多主机集群。

了解**具有基于 DNS 的服务发现的用户定义网络**（容器通过 Docker 内嵌 DNS 自动按名称相互到达）特别重要，因为这是多容器应用程序的推荐方法——实现按名称进行干净的服务到服务通信，而无需管理 IP，并提供比默认 bridge 更好的隔离。

了解**网络隔离和分段**（将容器放在不同网络上以控制可以通信的内容，例如分离前端和后端网络，使用已发布的端口作为受控的外部边界）对于**安全性**很有价值——限制容器的可达性可减少攻击面。

由于真实应用程序涉及多个通信容器（有时跨越多个主机），并且由于正确、安全的网络（选择驱动程序、使用服务发现、分段网络）对于正确连接至关重要，深入理解 Docker 网络——驱动程序、具有 DNS 服务发现的用户定义网络和用于安全的网络分段——是构建真实容器化应用程序的宝贵、实践相关的知识，对于多容器和分布式部署中的功能（连接）和安全性（隔离）都很重要。