如今服务器虚拟化技术已经发展到了深水区。现在业界已经有很多公司都迁移到容器上了。我们的开发写出来的代码大概率是要运行在容器上的。因此深刻理解容器网络的工作原理非常的重要。只有这样将来遇到问题的时候才知道该如何下手处理。
🐱 猫头虎博主报道！网络配置对于Linux系统至关重要，它决定了你的系统如何与外部世界交互。不论你是初学者还是资深运维工程师，我都为你带来了这份全面而深入的Linux网络配置指南。希望每位热衷于Linux的朋友都能轻易找到这篇文章。让我们一起揭开Linux网络配置的神秘面纱！🌐
我使用docker至今已有一段时间了，与绝大部分的人一样，我被docker强大的功能和易用性深深的折服。简单方便是docker的核心之一，它强大的功能被抽象成了非常简单的命令。当我在使用和学习docker的时候，我很想知道docker在后台都做了一些什么事情，特别是在网络这一块（我最感兴趣的一块）。 我找到了很多关于创建和操作容器网络的文档，但是关于docker如何使网络工作的却没有那么多。 Docker广泛使用linux iptables和网桥接口，这篇文章是我如何用于创建容器网络的总结，大部分信息来
启动实例 SSH公钥注入 启动一个实例 在OpenStack中启动实例需要指定一个VM 配置模板，首先查看可用模板 创建一个拥有较小的内存设置的flavor，供启动cirror测试使用 获取所有可用的
之前一直使用NAT模式，测试时android端远程访问虚拟机的mysql时发现无法连接，但是访问同学拷过来的虚拟机Linux的mysql却成功了，想了下原因是他设置的桥接模式。关于两种模式的区别，网上可以搜到一大堆文章，通俗点讲，NAT模式下，虚拟机从属于主机，也就是访问外部网络必须通过主机来访问，因此虚拟机的IP只有主机才能识别。而桥接模式下，虚拟机和主机是平行关系，共享一张网卡（使用网卡的多个接口），可以直接访问外部网络。
首先可以在windows界面，windows + R键输出cmd打开命令行，输入 ipconfig
Kubernetes（简称K8S，K和S之间有8个字母）是用于自动部署，扩展和管理容器化应用程序的开源系统。它将组成应用程序的容器组合成逻辑单元，以便于管理和服务发现。Kubernetes 源自Google 15 年生产环境的运维经验，同时凝聚了社区的最佳创意和实践。
容器的本质就是一个进程，只不过对它进行了Linux Namesapce隔离，让它看不到外面的世界，用Cgroups限制了它能使用的资源，同时利用系统调用pivot_root或chroot切换了进程的根目录，把容器镜像挂载为根文件系统rootfs。rootfs中不仅有要运行的应用程序，还包含了应用的所有依赖库，以及操作系统的目录和文件。rootfs打包了应用运行的完整环境，这样就保证了在开发、测试、线上等多个场景的一致性。
Docker作为一种容器技术，在目前的分布式和微服务系统中被广泛使用，因为要在多个容器或机器间进行通信，因此Docker网络通信是一个重要的技术点。从网络架构的角度来看，所有的容器实际上是通过本地主机的网桥接口（docker0）进行相互通信，就像物理机器通过物理交换机通信一样。
容器是一种新的虚拟化技术，每一个容器都是一个逻辑上独立的网络环境。Linux 上提供了软件虚拟出来的二层交换机 Bridge 可以解决同一个宿主机上多个容器之间互连的问题，但这是不够的。二层交换无法解决容器和宿主机外部网络的互通。
本身在 K8S 中部署一个应用是需要写 yaml 文件的，我们这次简单部署，通过拉取网络上的镜像来部署应用，会用图解的方式来分享一下，过程中都发生了什么
随着互联网的普及，安全性变得愈发重要。在保护你的Linux服务器免受恶意攻击和未经授权的访问方面，配置一款强大的防火墙是必不可少的。今天，我们将介绍一种简单而有效的方法——使用Uncomplicated Firewall（UFW）来保护你的Linux系统。
使用linux进行嵌入式开发的时候，为了方便开发，通常是将开发板挂载到宿主机的文件系统上，然后将代码放到共享给开发板的目录中，再通过开发板运行。 首先查看是否安装了 nfs 软件包，yum list installed | grep nfs。如果安装，则可进行下面设置。 nfs 服务器端配置： 1.首先建立共享目录：在根目录下建立share目录。执行 mkdir /share 2.然后对 exports 文件进行编辑：vim /etc/exports 如果之前没有通过 nfs 共享过目录，该文件是空的，向里面填入如下内容：
当Docker启动时，会自动在主机上创建一个名为docker0虚拟网桥，实际上是Linux的一个bridge，可以理解为一个软件交换机，它会在挂载到它的网口之间进行转发。 同时，Docker随机分配一个本地未占用的私有网段中的一个地址给docker0接口。比如典型的172.17.0.1，掩码为255.255.0.0。此后启动的容器内的网口也会自动分配一个同一网段（172.17.0.0/16）的地址。 当创建一个Docker容器的时候，同时会创建了一对veth pair接口(当数据包发送到一个接口时，另外一个接口也可以收到相同的数据包)。这对接口一端在容器内，即一端在本地并被挂载到docker0网桥，名称以veth开头（例如vethb305ad8）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。 Docker创建了在主机和所有容器之间一个虚拟共享网络。
说到docker，大家都懂。但是LXC可能就比较陌生。Docker的起源于LXC。LXC的英文全称是Linux Container，相比较其他虚拟机而言，是一种轻量级虚拟化技术，它介于Chroot（linux的一个改变根目录挂载点的机制）和完整开发的虚拟机之间。LXC不使用单独的内核资源，但是可以创建一个类似的Linux操作系统环境。
前面我们介绍了Docker容器的相关内容，Docker 的容器运行在宿主机的虚拟机上。这些虚拟机彼此独立，彼此之间没有任何接口，即容器彼此之间是逻辑隔离的。那么，如何实现容器的相互通信？这个就是我们今天要讲的内容。
1.使用两台Linux虚拟机和一台win10物理机。一台Linux主机作为网关（需要双网卡），另一台Linux主机作为内网，使用物理机作为外网。
K3S是一个完全符合Kubernetes的发行版。可以使用单一二进制包安装（不到 100MB），安装简单，内存只有一半，最低0.5G内存就能运行。
使用minikube部署k8s非常简单，执行minikube start就可以完成k8s部署，执行minikube delete就可以卸载掉k8s。当然要实现如此快速的部署/卸载k8s操作，是有一些前提工作需要准备的，如果部署机器存在代理，则还需要踩一些坑。
答：杀死一个进程，应获得这个进程控制的权利，比如获得进程所属账户的权限；或者获得超级账户的权限。如果是peter账户，没有获得jason账户的权限，因此，杀死jason账户下运行的进程是被禁止的。
容器的SDN 很多人都说2017将是容器年，大卫也这么认为。但在很长一点时间里，容器与虚拟化都是相互依存，相互补充的问题。 之前笔者发表过一篇文章，放开眼界，看看开源界的新动向。里面清晰描述了未来两年内，整个开源界将会被主流目标客户采用的几项技术： High-Performance Message Infrastructure、Interoperable Storage Encryption Private IaaS、Container Networking、Open-Source Virtualizati
Linux 2.4内核以后提供了一个非常优秀的防火墙工具：netfilter/iptables，他免费且功能强大，可以对流入、流出的信息进行细化控制，它可以 实现防火墙、NAT（网络地址翻译）和数据包的分割等功能。netfilter工作在内核内部，而iptables则是让用户定义规则集的表结构。
早在2008年，Solomon Hykes 和他的朋友 Kamel Founadi、Sebastien Pahl 共同创立了一家名为 DotCloud 的公司，目标是利用一种叫做容器的技术来创建他们称作是“大规模的创新工具”：任何人都可以使用的编程工具。
我们一定听过容器的基础原理，namespace做隔离，Cgroups做限制，rootfs做文件系统，容器本质上是linux的一个进程，那么为什么大多数场景下，容器不直接使用宿主机上的网络，而要是通过network namespace隔离出一组专属的网络空间呢？（容器的基础原理，可参考：https://coolshell.cn/articles/17010.html）
在应用程序和网络之间是 Docker 网络，被亲切地称为容器网络模型 或 CNM（Container Network Model）。是 CNM 为您的 Docker 容器代理连接性，并且还抽象出网络中常见的多样性和复杂性。结果是可移植性，它来自 CNM 强大的网络驱动程序。这些是 Docker 引擎、Swarm 和 UCP 的可插拔接口，提供了多主机网络、网络层加密和服务发现等特殊功能。
1描述计算机的组成及其功能 电子计算机，亦称电脑，是一种利用电子学原理，根据一系列指令对数据进行处理的工具 计算机及其组成 计算机是什么 电子计算机，也叫做电脑（computer），是一种用于高速计算的电子计算机器。通过计算机，可以实现计算、存储等功能电子计算机，也叫做电脑（computer） 通过计算机，可以实现计算、存储等功能 计算机可分为超级计算机、工业控制计算机、网络计算机、个人计算机、嵌入式计算机等五类 对于我们日常的学习、生活而言，计算机已
当 Docker 启动时，会自动在主机上创建一个 docker0 虚拟网桥，实际上是 Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进行转发。
什么? linux? 内核?! 也许你会说,“拜托,这种一看就让人头大的字眼, 我真的需要了解吗?” 有句流行语说得好,没有买卖,就没有杀害. 如果在日常中需要和流量打交道,那么为了不让 自己在面对来
docker服务部署会自动创建3种网络:bridge、host、none。
Docker 安装时会自动在 host 上创建三个网络，我们可用docker network ls 命令查看，如：
Docker镜像（Image），就相当于是一个 root 文件系统。比如官方镜像 ubuntu:16.04 就包含了完整的一套 Ubuntu16.04 最小系统的 root 文件系统。
上一篇我们学习了Windows基础，今天我们来看一看作为一名渗透测试工程师都需要掌握哪些Linux知识。今天的笔记一共分为如下三个部分：
由上图我们可以看到创建的网络ID为4554d78082da ,使用ip addr查看本机网络：
在现在这个网络越发便捷的社会，各种网络勒索病毒层出不穷，即使是Google浏览器也是在不断的更新版本修复漏洞。很多人认为只有Windows系统才容易中病毒，若使用Linux系统就不容易中病毒，经常让自己的电脑裸奔运行，既不装杀毒软件，也不开启防火墙。其实Linux下也是存在中病毒的可能的，只是那些病毒几乎是无法像在Windows系统下一样自动运行的，Linux的特性决定了很多时候都需要你给予root权限软件才能运行，这确实使电脑中病毒的几率大大降低了，但是不管你的Linux系统是ubuntu还是其它发行版本，即使你不安装杀毒软件，防火墙也是必须要开启的，可惜我们很多人的电脑都是关闭了防火墙，今天这篇博客主要教大家怎么开启Ubuntu系统的防火墙，避免电脑重要文件遭到窃取。
在之前的文章“利用群晖的File Station+SFTP实现第三方人员快速获取服务器应用日志”的基础上
4.2、Internet-To-Pod（LoadBalancer -- Layer4）
一：首先来了解下Centos7新增的命令工具网络防火墙：firewall-cmd，非常强大！
先使用windows操作系统安装好Cmder，因为是国外的网站所以需要×××后才能够下载得到这软件，Cmder是一个能够远程登录Linux操作系统的远程终端模拟器，在windows上使用Cmder能够很方便的对Linux进行远程命令行的操作。
最近玩Discourse论坛程序，由于资源消耗过于严重，这个月主机崩了好几次，我打算配合frp内网穿透，把个人服务器做成主从分布的架构，为了便于管理， 我选择采用目前最流行的k8s集群管理技术，对已有服务进行集群式管理，今天先本地Ubuntu20.04搭建一个单机版k8s，也就是minikube，试一下水。
firewall-cmd --zone=public --add-port=端口号/tcp --permanent
LVS（linux virtual server）即linux虚拟服务器，由章文嵩博士主导开发的开源负载均衡项目，从2.6内核开始已经被集成到linux内核模块中了，该项目在linux内核中实现了基于IP的数据请求负载均衡调度方案，终端互联网用户从外部访问公司的外部负载均衡服务器，终端用户的web请求会发送给LVS调度器，调度器根据自己预设的算法决定将该请求发送给后端的某台web服务器，如果后端的所有web服务器存储的内容时相同的，那么用户不管访问哪台真实的web服务器得到的内容也都是相同的，所以整个集群对于用户而言是透明的。最后根据工作模式不同，真实服务器会选择不同的方式将用户需要的数据发送给终端用户。
在 使用 Go 和 Linux Kernel 技术探究容器化原理 一文中，我们揭秘了容器的本质就是一个特殊的进程，特殊在为其创建了 NameSpace 隔离运行环境，并用 Cgroups 为其控制资源开销。
将 Kubernetes 的 CNI 从其他组件切换为 Cilium, 已经可以有效地提升网络的性能。但是通过对 Cilium 不同模式的切换/功能的启用，可以进一步提升 Cilium 的网络性能。具体调优项包括不限于：
在上一篇文章中我们介绍了基于ipvs的cluster ip类型service的实现原理，本质上是在iptable的PREROUTING chain以及相关target中利用ipset来匹配cluster ip，完成对即将做MASQUERADE伪装的items的mark标记，同时结合ipset也减少了iptable中的entry数量。另外在host network namespace里创建kube-ipvs0网络设备，绑定所有cluster ip，保证网络数据包可以进入INPUT chain。在INPUT chain中ipvs利用映射规则(可由ipvsadm查看该规则)完成对cluster ip的DNAT和目标pod endpoints选择的负载均衡，然后直接把数据送入POSTROUTING chain。当数据包进入POSTROUTING chain，经过相关的iptable target，匹配在PREROUTING chain中的mark标记，完成MASQUERADE伪装(SNAT host的ip地址)。最后数据包根据host network namespace的路由表做下一跳路由选择。在这里我们主要介绍基于ipvs的node port类型service的实现原理，如果对上一篇文章内容有所理解，那么这里也比较简单。
我们在使用docker run创建Docker容器时，可以用--net选项指定容器的网络模式，Docker有以下4种网络模式：
Docker网络是容器化中最难理解的一点也是整个容器化中最容易出问题又难以排查的地方，加上使用Kubernets后大部分人即使是专业运维如果没有扎实的网络知识也很难定位容器网络问题，因此这里就容器网络单独拿出来理一理。
大家在网上输入【linux 防火墙】等关键字搜索相关文章，有时候会出现命令用不了的情况，不是说他们的命令错误，而是因为操作系统版本的问题。 目前的话，比较常见的 Linux 系统就是 centos 和 ubuntu了吧 废话不多说了，直接开怼
尽管从Mac的Terminal可以看出，macOS与UNIX、Linux或多或少都有血缘关系（shell、bash等），但是在mac进行Linux开发，或者把macOS直接当作Linux来使用依然是说不过去的，这其中包括一些命令行的使用，一些基本的文件夹体系等（如，在Linux上的/home目录与在macOS下的/Users）不一致。如果想要在macOS上进行Linux的学习，或者进行Linux开发，最完美的方案自然是安装虚拟机。
Linux 系统有很多用于快速处理数据的工具如 grep , awk , cut , sort , uniq , sort 可以帮助我们分析网络情况 , 他们非常非常地好用 , 如果你熟练掌握他们的使用技巧 , 他们则可以帮你快速定位问题 ; 接下来一步步来查看访问系统的 IP 情况
之所以会出现无法在 NAT 的内部网络通过 NAT 服务的外部 IP 地址来访问的情况，是因为如果服务从内部请求，那么经过 DNAT 转换后，将目标 IP 改写成内网 IP，如 192.168.1.3，而发送请求的机器 IP 是 192.168.1.4，数据包被网关 192.168.1.1 顺利的重定向到 192.168.1.3 的服务端口，然后 192.168.1.3 根据请求发送响应给目的 IP 地址，也就是 192.168.1.4，但是，问题出现了，因为 192.168.1.4 请求的地址是外部 IP 假设是 106.54.43.50，所以它等待着 106.54.43.50 的响应，但是由于是局域网，所以路由器不经过封装，直接转发，所以 192.168.1.3 的响应请求被看做是非法的，被丢弃了。这就是问题的所在了，该问题称为 NAT 回流，解决方案在此不再赘述。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
