Как работает сеть в Docker Container?

Как работает сеть в Docker Container

Сеть в Docker — это мощная и гибкая система, позволяющая изолировать, защищать и управлять коммуникацией контейнеров. В основе лежит концепция виртуализации сетевого стека на уровне операционной системы, реализованная через механизмы network namespaces и виртуальные сетевые интерфейсы.

Основные принципы работы

Каждый запущенный контейнер получает собственный network namespace — изолированное сетевое окружение со своим набором интерфейсов, таблицами маршрутизации и правилами firewall. По умолчанию Docker создает для контейнера виртуальную сетевую пару (veth pair), связывающую namespace контейнера с namespace хоста (обычно через bridge). Это позволяет контейнеру иметь уникальный IP-адрес в своей сети и общаться с другими контейнерами и внешним миром.

Драйверы сетей Docker

Docker поддерживает несколько сетевых драйверов, каждый предназначен для разных сценариев:

• bridge (по умолчанию): Создает внутреннюю приватную сеть на хосте (демон Docker создает виртуальный мост docker0). Контейнеры в одной bridge-сети могут общаться друг с другом по IP, а наружу выходят через NAT на IP-адрес хоста. Порт наружу публикуется с помощью -p (например, -p 8080:80).

  # Создание bridge-сети и запуск контейнера в ней
  docker network create my-net
  docker run -d --name web-app --network my-net -p 8080:80 nginx
  

• host: Контейнер полностью разделяет network namespace хоста. Он использует его сетевой стек напрямую, без изоляции. Это дает максимальную производительность, но лишает безопасности и возможности назначать свои порты.

  # Запуск контейнера в сетевом пространстве хоста
  docker run -d --name web-app --network host nginx
  # Теперь nginx доступен напрямую на порту 80 хоста
  

• overlay: Ключевой драйвер для Docker Swarm (кластеризации). Позволяет создавать распределенные сети поверх нескольких хостов Docker, так что контейнеры на разных физических машинах могут общаться, как будто находятся в одной локальной сети. Использует технологию VXLAN для инкапсуляции пакетов.

  # Создание overlay-сети в Swarm
  docker network create -d overlay my-overlay-net
  

• macvlan: Позволяет назначать контейнерам собственные MAC-адреса, делая их видимыми в физической сети как обычные физические устройства. Идеально для миграции legacy-приложений или когда контейнеру нужен прямой, нефальсифицированный доступ к сети.

  # Создание macvlan сети
  docker network create -d macvlan \
    --subnet=192.168.1.0/24 \
    --gateway=192.168.1.1 \
    -o parent=eth0 \
    my-macvlan-net
  

• none: Полное отключение сети для контейнера. У него будет только loopback-интерфейс (lo). Используется для специализированных задач, где сеть не нужна или будет настроена вручную.

Механизм связи и DNS

Docker предоставляет встроенный DNS-сервер (на 127.0.0.11 внутри контейнера), который позволяет контейнерам находить друг друга по имени (или алиасу), а не только по IP-адресу. Это работает в пользовательских сетях (например, созданных через docker network create), но не в стандартной сети bridge по умолчанию.

# Контейнеры в одной пользовательской сети могут пинговать друг друга по имени
docker run -d --name container1 --network my-net alpine sleep 3600
docker run -it --name container2 --network my-net alpine ping container1
# Успешный ping по имени 'container1'

Публикация портов (Port Mapping)

Когда контейнеру нужно быть доступным извне, используется привязка портов. Демон Docker настраивает правила iptables (или nftables), которые перенаправляют трафик с конкретного порта интерфейса хоста на IP-адрес и порт контейнера. Это ключевой механизм безопасности и изоляции.

# Пример в docker-compose.yml: публикация порта 5432 контейнера на порт 54321 хоста
services:
  postgres:
    image: postgres:15
    ports:
      - "54321:5432"

Управление и диагностика

Администратор может управлять сетями через CLI:

docker network ls          # Список сетей
docker network inspect my-net # Детальная информация о сети (подсети, контейнеры, шлюзы)
docker network connect/disconnect # Подключить/отключить контейнер от сети

Итог: Сетевая модель Docker предоставляет высокоуровневую абстракцию над низкоуровневыми механизмами Linux (namespaces, bridges, iptables, veth). Понимание ее работы — от изоляции через network namespaces до маршрутизации через bridge и трансляции адресов через iptables — является фундаментальным для построения отказоустойчивых, безопасных и эффективных контейнеризированных приложений, их отладки и оптимизации производительности сетевого взаимодействия. Выбор правильного драйвера сети определяет архитектуру всего приложения: от простого разворачивания на одном хосте (bridge) до сложных кластерных и гибридных инфраструктур (overlay, macvlan).