临时¶

docker DNS¶

使用 docker DNS 的限制:

只能在 user-defined 网络中使用。
默认的 bridge 网络是无法使用的。
如果两个容器一开始运行时处于不同的 user-defined 网络，
可以通过 docker network connect 命令添加另一个容器的网络

容器间访问¶

容器之间相互访问，需要两方面的支持:

容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到 docker0 网桥上。
本地系统的防火墙软件 -- iptables 是否允许通过。

访问所有端口:

当启动 Docker 服务时候，默认会添加一条转发策略到 iptables 的 FORWARD 链上。
策略为通过（ACCEPT）还是禁止（DROP）取决于配置--icc=true（缺省值）还是 --icc=false。
当然，如果手动指定 --iptables=false 则不会添加 iptables 规则。

可见，默认情况下，不同容器之间是允许网络互通的。
如果为了安全考虑，可以在 /etc/default/docker 文件中配置 DOCKER_OPTS=--icc=false 来禁止它。

访问指定端口:

在通过 -icc=false 关闭网络访问后，还可以通过 --link=CONTAINER_NAME:ALIAS 选项来访问容器的开放端口。

例如:
在启动 Docker 服务时，可以同时使用 ``icc=false --iptables=true`` 参数来
    关闭允许相互的网络访问，并让 Docker 可以修改系统中的 iptables 规则。

此时，系统中的 iptables 规则可能是类似:

$ sudo iptables -nL
...
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
DROP       all  --  0.0.0.0/0            0.0.0.0/0
...

当添加了 –link=CONTAINER_NAME:ALIAS 选项后，添加了 iptables 规则:

$ sudo iptables -nL
...
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
ACCEPT     tcp  --  172.17.0.2           172.17.0.3           tcp spt:80
ACCEPT     tcp  --  172.17.0.3           172.17.0.2           tcp dpt:80
DROP       all  --  0.0.0.0/0            0.0.0.0/0

映射容器端口到宿主主机的实现¶

使用 -P 时(把80端口映射一个随机主机端口49153):

$ iptables -t nat -nL
...
Chain DOCKER (2 references)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:49153 to:172.17.0.2:80

使用 -p 80:80 时(把80端口映射到主机的80端口):

$ iptables -t nat -nL
Chain DOCKER (2 references)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.17.0.2:80