Docker容器是一个开源的应用容器引擎，让开发者可以以统一的方式打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何安装Docker引擎的服务器上，也可以实现虚拟化。
calico提供的网络解决方案，基本和flannel的host-gw模式相同，不同的地方在flannel通过etcd和宿主机上的flanneld维护路由信息，而calico是使用bgp（border gateway protocol 边界网关协议）自动的在集群中维护路由信息。如：
在金融行业数字化转型的驱动下，国有银行、股份制银行和各级商业银行也纷纷步入容器化的进程。
bridge模式是Docker默认的网络设置，此模式会为每一个容器分配Network Namespace、设置IP等，并将一个主机上的Docker容器连接到一个虚拟网桥上。当Docker server启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。接下来就要为容器分配IP了，Docker会从RFC1918所定义的私有IP网段中，选择一个和宿主机不同的IP地址和子网分配给docker0，连接到docker0的容器就从这个子网中选择一个未占用的IP使用。如一般Docker会使用172.17.0.0/16这个网段，并将172.17.42.1/16分配给docker0网桥（在主机上使用ifconfig命令是可以看到docker0的，可以认为它是网桥的管理端口，在宿主机上作为一块虚拟网卡使用）。
Cilium[1]是一种开源网络实现方案，与其他网络方案不同的是，Cilium着重强调了其在网络安全上的优势，可以透明的对Kubernetes等容器管理平台上的应用程序服务之间的网络连接进行安全防护。
前面介绍Flannel的三层网络解决方案是host-gw，其实还有一个非常出名的单独的三层网络解决方案Calico，它的工作模式和host-gw基本一致，也是会在每台宿主机上添加如下格式的路由规则：
Docker 服务默认会创建一个 docker0 网桥（其上有一个 docker0 内部接口），该桥接网络的名称为docker0，它在内核层连通了其他的物理或虚拟网卡，这就将所有容器和本地主机都放到同一个物理网络。Docker 默认指定了 docker0 接口 的 IP 地址和子网掩码，让主机和容器之间可以通过网桥相互通信。
本篇文章来介绍，K8S纯三层网络的实现原理，主要以Flannel 的 host-gw 模式和 Calico为例来介绍，是本人对K8S网络学习整理的第三篇学习笔记。
我们去年为了上云，先逐步是使用docker部署，然后逐步k8s部署，为此搭建了docker容器平台，该平台分配ip需要绑定宿主机cvm的弹性网卡，为此专门引入了网络SR-IOV插件，趁此补充完善该文。
host-gw模式就是将每个Flannel子网的下一跳设置成该子网对应宿主机的IP地址，该主机会充当容器通信路径里的网关。
最近在挺哥的指导下学习 Kubernetes，会定期写一些学习总结和大家分享，本篇文章是第一篇，从介绍 k8s 知识点和常见名词开始。
由于在企业中部署私有云的场景会更普遍，所以在私有云中运行Kubernetes + Docker集群之前，就需要自己搭建符合Kubernetes要求的网络环境。现在的开源世界里，有很多开源组件可以帮助我们打通Docker容器和容器之间的网络，实现Kubernetes要求的网络模型。当然每种方案都有自己适合的场景，我们要根据自己的实际需要进行选择。
它本身就是一种线下生活现象的虚拟化。现实世界里，小孩子们在沙地、沙滩上用木板隔离出一个方盒子，在盒子里堆砌、创造各种东西 - 城堡、房屋、山丘... 这就是一个沙箱。
Tungsten Fabric项目是一个开源项目协议，它基于标准协议开发，并且提供网络虚拟化和网络安全所必需的所有组件。项目的组件包括：SDN控制器，虚拟路由器，分析引擎，北向API的发布，硬件集成功能，云编排软件和广泛的REST API。
在Kubernetes中要保证容器之间网络互通，网络至关重要。而Kubernetes本身并没有自己实现容器网络，而是通过插件化的方式自由接入进来。在容器网络接入进来需要满足如下基本原则：
| 导语 上一篇我们讲解了docker的存储配置，那么这篇文章我们讲下docker的网络。存储解决了docker存东西的问题，网络了解后我们就能知道容器如何连接互通。
KubeCon + CloudNativeCon 首次登陆中国上海。这意味着中国Kubernetes 爱好者们齐聚上海来参与这场全球范围内最大的 Kubernetes 技术盛会。数据平台部高级工程师宋盛博在大会上介绍了腾讯企业级容器云平台GaiaStack在机器学习场景的实践，即《Deep CustomizedKubernetes for Machine Learning in Tencent》
跟其他添加Docker容器的第三方工具一样（比如网络拓扑和文件系统共享），有很多类似的机制，在不改变Docker内核情况下就可以加固现有的容器.
当 Docker 启动时，会自动在主机上创建一个 docker0 虚拟网桥，实际上是 Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进行转发。
作者：William 孟祥龙，腾讯 CDG 系统架构师，从事云原生技术赋能金融科技。 本文是一篇云原生的关键知识科普，希望给大家提供一扇云原生的“窗户”，传达三个目标：1、透过窗户看到一棵大树代表：云原生的蓝图全貌；2、树上会有很多核心树干代表：云原生的关键技术；3、希望树干上能摘到果实代表：云原生对我的启发。 开始阅读文章前，请角色切换：设想你作为一位中小型 IT 公司 CTO，面对云原生技术决策，你需要回答两个问题： 1、为什么需要上云？ 2、上云有何弊端？ 作为一家公司的技术决策者，必须
容器运行时（Container Runtime）是一种负责在操作系统层面创建和管理容器的软件工具或组件。它是容器化技术的核心组件之一，用于在容器内部运行应用程序，并提供隔离、资源管理和安全等功能。 在Kubernetes中，容器运行时是负责管理和运行容器的组件。在过去，Docker是最常用的容器运行时，但随着时间的推移，containerd成为Kubernetes的另一个受欢迎的容器运行时选择。
很多人在实际工作中都使用过Kubernetes，我们的容器服务在2016年年底开始提供全托管的Kubernetes服务，主要提供了四个方面的功能。首先是提供了一键部署的Kubernetes，与其他容器服务的提供商不一样，我们的Kubernetes是完全隔离的，每个用户都会独享所有的计算节点和控制节点，集群网络也在用户自己的VPC中。我们在这个基础上提供了集群的全生命周期管理，包括集群的创建、销毁，还有计算节点的添加、删除，还有一些类似Kubernetes原有组件的初始化以及证书的初始化工作。为了大家更方便地使用Kubernetes，我们在控制台包装了一些界面，使大家可以通过可视化的方式创建一些负载来暴露自己的服务，避免了大家手工编码的烦琐。第三，我们提供了周边的监控能力，包括集群本身pod内存的使用率以及一些Kubernetes事件。这些能力都与腾讯云的云监控产品进行了打通，大家可以直接在云监控产品界面使用这些能力。为了方便大家将自己的一些比较传统的应用部署到云上，我们在Kubernetes集群之外还提供了Docker镜像仓库、TencentHub、CICD的功能，为大家提供了一站式应用的云解决方案。
直观上看，要实现网络通信，机器需要至少一个网络接口（物理接口或虚拟接口）与外界相通，并可以收发数据包；此外，如果不同子网之间要进行通信，需要额外的路由机制。
在上期，我们提到，大型云计算平台的容器网络，需要考虑的一个关键因素，是应用调度层(容器)和资源层(虚拟机)的紧密结合。
上篇我们分享了一下容器的演进，然后用进程隔离、文件隔离、namespace、cgroups、libcontainer的几个角度展开容器的本质，本篇文章会对Docker的版本安装进行讲解并简介Docker的技术架构。
当Docker启动时，会自动在主机上创建一个名为docker0虚拟网桥，实际上是Linux的一个bridge，可以理解为一个软件交换机，它会在挂载到它的网口之间进行转发。 同时，Docker随机分配一个本地未占用的私有网段中的一个地址给docker0接口。比如典型的172.17.0.1，掩码为255.255.0.0。此后启动的容器内的网口也会自动分配一个同一网段（172.17.0.0/16）的地址。 当创建一个Docker容器的时候，同时会创建了一对veth pair接口(当数据包发送到一个接口时，另外一个接口也可以收到相同的数据包)。这对接口一端在容器内，即一端在本地并被挂载到docker0网桥，名称以veth开头（例如vethb305ad8）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。 Docker创建了在主机和所有容器之间一个虚拟共享网络。
自动化编排已经成为行业内讨论很多的话题，但自动化编排的场景、如何实现自动化编排，还在探索中。本文从软件定义安全的角度，讨论了安全编排的必要性、关键支撑技术、实现架构和发展方向。
根据IDC调研机构预测，2020~2024年，各类新开发的应用软件数量将达到5亿款，相当于过去40年的总和。
微服务架构背景下，随着服务和服务实例的数量不断增加，如果依然用传统的方式部署、配置和管理这些服务进程，就会发现，越来越多的时间花在了管理部署和解决部署过程中出现的问题上了。比如，需要新增服务实例进行扩容，服务器环境搭建就挺费时间的。另外，很多人肯定会经历过，同一份代码的程序在测试环境跑得好好的，但到了生产环境就出错了。部署上线的时候，大部分问题其实都是运行环境和配置问题，开发和运维就为了解决这些问题花费了很多时间。
概念:把一个大型的单个应用程序和服务拆分为数个甚至数十个的支持微服务，这些应用可独立地进行开发、管理和迭代
云计算基础架构在传统IT基础架构的基础上，对计算、存储和网络三类底层物理资源进行了虚拟化实现和统一的整合管理，将物理硬件抽象为有机的、可灵活调度和扩展的资源池。
随着容器等轻量级高效率虚拟化技术的兴起与微服务理念的普及，云计算正向着“云原生”（Cloud Native）的方向发展。为了适应这个趋势，网络也需要进行相应的改造以更好地支撑云原生平台大规模的弹性能力与服务自愈和的特性。开放网络的技术将在云原生场景中得以广泛应用。
本文通过docker的网络介绍容器网络的原理以及一些实践，通过实践一遍相信大家会对网络底层的原理有个更深的理解，最后给出对接ovs的教程，这对下一篇k8s对接ovn的原理理解打下一个基础。
Rainbond 是一个云原生应用管理平台，使用简单，不需要懂容器、Kubernetes和底层复杂技术，支持管理多个Kubernetes集群，和管理企业应用全生命周期。但是随着云原生时代的一点点进步，层出不穷的网络容器安全事件的出现，也是让大家对于容器安全，网络安全的重要性，有了更进一步的想法，Rainbond 为了保证用户在使用的过程中不出现类似的容器安全事件，特别适配整合了 NeuVector。
在当今的应用开发和部署中，容器化技术已经成为不可或缺的一部分。而容器网络作为容器化技术的重要组成部分，更是受到了广泛的关注。本篇博客将深入探讨Docker网络模型，帮助读者理解容器网络通信和连接的基本原理以及常见的网络类型。
安全永远重要，云计算时代尤其如此。越来越大量的数据，越来越丰富的业务运行在云端。保护这些数据和业务的安全，是云平台系统必须考虑的问题之一。
Docker的网络驱动是指在Docker引擎中实现容器网络通信的技术。它包括以下几种常见的网络驱动：
前面我们介绍了Docker容器的相关内容，Docker 的容器运行在宿主机的虚拟机上。这些虚拟机彼此独立，彼此之间没有任何接口，即容器彼此之间是逻辑隔离的。那么，如何实现容器的相互通信？这个就是我们今天要讲的内容。
Docker Overlay网络是一种网络技术，它使用了Docker引擎的特性，使得多个Docker主机可以连接在一起，形成一个虚拟网络，从而实现多主机之间的容器通信。Docker Overlay网络使用VXLAN协议实现跨主机的网络通信。
如今分布式、微服务盛行，面对拆分服务比较多的系统，如果线上出现异常，需要快速定位到异常服务节点，假如还用传统的方式排查肯定效率是极低的，因为服务之间的各种通信会让定位更加繁琐；所以就急需一个分布式链路追踪系统，方便快速定位异常节点，从而针对性的处理问题。比较主流的APM(Application Performance Management)系统有SkyWalking、Zipkin、PinPoint、Cat等，这里就先说说SkyWalking，其他的后续再补上。
容器的网络解决方案有很多种，每支持一种网络实现就进行一次适配显然是不现实的，而 CNI 就是为了兼容多种网络方案而发明的。CNI 是 Container Network Interface 的缩写，是一个标准的通用的接口，用于连接容器管理系统和网络插件。
在私有云的业务场景中，常见的通信中包含了同VPC内虚机互访、不同VPC之间的虚机互访、VPC访问Underlay资源、VPC访问Internet资源、VPC提供服务，被Internet访问、VPC与专线网络之间互访等；实际应用中，大多数云业务通信场景都需要依赖安全、NAT、负载等边界设备组合使用来实现，云承载网络中与边界设备对接的Leaf节点我们通常定义为Border角色。
周亮宇，腾讯云容器技术专家，负责腾讯云容器服务及EKS弹性容器服务，在云计算领域有着丰富的经验。
Docker Overlay 网络是一种用于跨主机通信的虚拟网络。它使用 VXLAN 技术将多个 Docker 主机上的容器连接到同一个网络中，使它们可以在不同的主机之间进行通信。在本文中，我们将深入探讨 Docker Overlay 网络的实现原理和底层原理。
上篇文章介绍了容器网络的单主机网络，本文将进一步介绍多主机网络，也就是跨主机的网络。总结下来，多主机网络解决方案包括但不限于以下几种：overlay、macvlan、flannel、weave、cacico 等，下面将分别一一介绍这几种网络， PS：本文仅从原理上对几种网络进行简单的对比总结，不涉及太多的细节。 overlay 俗称隧道网络，它是基于 VxLAN 协议来将二层数据包封装到 UDP 中进行传输的，目的是扩展二层网段，因为 VLAN 使用 12bit 标记 VLAN ID，最多支持 4094 个
在使用Bridge网络时，Docker会为每个容器创建一个虚拟网卡（veth pair），一个端口连接到容器内部，另一个端口连接到宿主机上的网桥设备（br0）。每个容器会被分配一个唯一的MAC地址和IP地址，这些地址由Docker内部的IPAM（IP Address Management）模块管理。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
