主页 / server / 问题 / 891208
Accepted
sbrattla
Asked: 2018-01-09 05:53:13 +0800 CST

为什么物理接口不是 docker_gwbridge 的一部分？

  • 772

当我查看 时docker_gwbridge，我看到该主机上的所有容器都是桥的成员。

bridge name         bridge id           STP enabled  interfaces
docker_gwbridge     8000.0242e581b3f5   no           veth0987748
                                                     veth21aa5ea
                                                     veth358d367
                                                     veth473e3a5
                                                     vetha199713
                                                     vethf482f5f
                                                     vethf4ceab6

但是，主机上的物理接口怎么可能不是该网桥的成员呢？该文档将这个网络描述为离开 Docker swarm 集群的流量的出口桥。也就是说，最有可能离开主机的流量。当没有物理接口参与桥接时，什么机制确保进入docker_gwbridge（从任何给定容器）的数据包最终将主机留在物理接口上？

docker

1 个回答

  1. Best Answer

    Docker 使用的机制是 iptables。iptables 规则由 Docker 添加，因此来自 docker_gwbridge 的数据包被转发，然后在流量发送到外部世界时被 nat（伪装）。

    这是从输出的摘录docker network inspect docker_gwbridge

    [
    {
        "Name": "docker_gwbridge",
       ...
        "Scope": "local",
        "Driver": "bridge",
        "EnableIPv6": false,
        "IPAM": {
            "Driver": "default",
            "Options": null,
            "Config": [
                {
                    "Subnet": "172.20.0.0/16",
                    "Gateway": "172.20.0.1"
                }
            ]
        },
        ...
        "Options": {
            "com.docker.network.bridge.enable_icc": "false",
            "com.docker.network.bridge.enable_ip_masquerade": "true",
            "com.docker.network.bridge.name": "docker_gwbridge"
        },
        "Labels": {}
    }
]

    您可以看到 docker 使用 172.20.0.0/16 网络并且 com.docker.network.bridge.enable_ip_masquerade 设置为 true。

    Docker 创建以下规则：

    • MASQUERADE all -- 172.20.0.0/16 任何地方（在表 nat 中）
    • 接受所有 -- docker_gwbridge !docker_gwbridge 任何地方（在前向链中）

    因此，尽管没有物理接口连接到网桥，但允许路由/转发该网桥中的流量，并且由于它被设置为 nat（伪装），因此流量将被放置在与 nat 地址关联的物理接口上。

    • 4

相关问题