Docker Network
Bridging
두 분리된 네트워크간 통신이 가능하도록 징검 다리 역할을 하는 네트워크
도커는 호스트 네트워크와 컨테이너 혹은 컨테이너 간의 네트워크를 연결하는 docker0 이름의 Bridge 네트워크를 사용한다.
도커 네트워크 구조
각 컨테이너는 개인 loopback 주소와 각 컨테이너마다 할당된 네트워크와 연결되어 있는 ethernet 인터페이스를 갖는다.
각 컨테이너는 고유의 IP 주소를 할당받으며 외부로 공개되지 않는다.
각 컨테이너는 또한 도커 bridge 네트워크 인터페이스와 연결되고 도커 bridge는 host의 네트워크 인터페이스에 연결되어 있다.
4 가지 컨테이너 네트워크 타입
- Closed containers 외부로 부터 닫힌 컨테이너
- Joined containers 결합된 컨테이너
- Bridged containers 징검다리로 연결된 컨테이너
- Open containers 외부로 완전히 공개된 컨테이너
Closed containers 닫힌 컨테이너
외부로 닫힌 컨테이너로 강력한 보안과 고립을 제공한다.
컨테이너에서 실행되는 프로그램은 오로지 loopback interface(127.0.0.1 or localhost) 만 접근 가능하다.
컨테이너 실행
-- net 옵션으로 none을 전달한다.
docker run --rm --net none alpone:latest ip addr
특징
- 컨테이너에서 실행되는 프로그램은 localhost와 연관된 네트워크에만 연결 가능 하다.
- 외부에서 컨테이너를 접근할 수 없다.
외부와 단절된 네트워크
docker run --rm --net none alpine:latest ping -w 2 8.8.8.8
- 닫힌 컨테이너에서는 Google DNS 서버는 접근 불가능하다.
Bridged Containers 징검다리로 연결된 컨테이너 (기본 도커 컨테이너)
- 도커 bridge와 연결되어 컨테이너 내부에서 외부 네트워크 접근이 가능한 컨테이너로 가장 흔하게 사용된다.
컨테이너 생성
--net 옵션으로 bridge를 전달한다.
docker run --rm --net bridge alpine:latest ip addr
외부로 네트워크 연결 허용 outbound to host network
docker run --rm --net none alpine:latest ping -w 2 8.8.8.8
- Bridge 컨테이너는 Google DNS 서버를 접근 가능하다.
hostname관련 기능
컨테이너 네트워크에 호스트 이름 부여하기
호스트 이름으로 IP 주소를 찾게 해주는 DNS에서 검색되기 위해 컨테이너에 호스트 이름을 부여할 수 있다.
컨테이너 내부에서만 사용 가능하다.
docker run --rm --hostname barker alpine:latest nslookup barker
DNS 서버 설정 변경하기
컨테이너 내부에서 사용할 primary DNS 서버를 지정할 수 있다.
--dns 옵션으로 DNS 서버 주소를 전달한다.
docker run --rm --dns 8.8.8.8 alpine:latest nslookup docker.com
검색할 DNS hostname의 suffix 제공하기
.com, .net 과 같이 top-level domain에 해당하는 hostname을 입력하지 않았을 때 찾을 때 top-level domain의 suffix를 제공한다.
--dns-search로 도메인 이름을 전달한다.
docker run --rm --dns-search docker.com busybox:latest nslookup registry.hub
- DNS는 registry.hub.docker.com로 hostname을 검색한다.
임의의 hostname에 대한 IP 주소 맵핑 alias 주입하기
--add-host로 (hostname):(IP 주소)를 전달한다.
docker run --rm --add-host test:10.10.10.255 alpine:latest nslookup test
hostname에 대한 IP주소 맵핑 alias를 제공한다.
hostname 옵션을 사용하여 컨테이너 내부에서 알려진 네트워크 인터페이스 조회
docker run --rm --hostname mycontaienr --add-host docker.com:127.0.0.1 --add-host test:10.10.10.2 alpine:latest cat /etc/hosts
컨테이너 네트워크 Inbound 공개하기
기본으로 bridge 컨테이너는 외부에서 컨테이너로 접근이 불가능하다.
특정 포트 공개하기
- p 혹은 --publish로 포트 공개가 가능하다.
- container_port : 컨테이너의 해당 고정 port를 host의 dynamic port로 바인딩한다.
- host_port:container_port : 컨테이너의 고정 port를 host의 고정 port로 바인딩한다.
- ip::container_port : 컨테이너의 container_port를 host의 특정 ip 주소와 dynamic port로 바인딩한다.
- ip:hostport:container_port 컨테이너의 container_port를 host의 특정 ip 주소와 포트로 바인딩한다.
- P 옵션은 이미지가 외부로 공개하는 port를 모두 공개한다.
docker run -d --name philbin --expose 8000 -P dockerinaction/ch5_expose
이미지 공개하는 5000, 6000, 7000 port를 공개하고 8000 port 를 추가로 공개한다. 공개된 컨테이너 네트워크의 포트는 host의 dynamic 포트로 바인딩된다.
docker port philbin
- 공개된 포트 조회
컨테이너간 통신
도커의 bridge 네트워크로 컨테이너간 통신이 가능하다.
도커의 컨테이너 실행 시 기본값으로 보안상의 이유로 공개를 하고 싶지 않다면 -icc=false 옵션으로 도커를 실행한다.
docker -d --icc=false ....
bridge 인터페이스 관련 옵션 변경
- bridge 인터페이스의 address와 subnet 정의
- 컨테이너에 할당될 수 있는 ip 주소 대역 변경
- maimum transmission unit (MTU) 설정 변경
docker --bip 192.168.0.128/25
"192.168.0.128" 주소를 bridge 네트워크의 주소 (docker0)로 설정하고
25번째 비트 까지 subnet 마스크로 설정, 컨테이너가 생성될 때 192.168.0.128 ~ 192.168.0.255 대역을 할당
docker -d -mtu 12000
Ethernet 인터페이스는 기본 최대1500bytes 패킷 사이즈를 지원한다. 이 설정값을 변경한다.
Joined Containers 결합된 컨테이너
이미 실행중인 컨테이너와 같은 네트워크에 가지는 새로운 컨테이너를 실행하는 경우를 지칭한다.
--net 옵션에 컨테이너 이름을 지정한다.
docker run -d --name brady --net none alpine:latest nc -l 127.0.01:3333
docker run -it --net container:brady alpine:latest netstat -al
두 컨테이너는 분리된 다른 파일 시스템과 메모리를 사용하지만 같은 네트워크 인터페이스를 가진다.
실행 프로그램이 서로 네트워크 인터페이스 충돌을 야기하지 않도록 신경써야한다.
Open containers 공개된 컨테이너
위험한 컨테이너 실행 방식이다. 분리된 네트워크 인터페이스가 없으므로 호스트 네트워크에 직접 실행된다.
호스트가 실행하는 프로그램에 영향을 줄 수 있다.
docker run --rm --net host alpine:latest ip addr
로컬 서비스를 사용하기 위한 링크 사용하기
Links
실행중인 컨테이너에 대한 인터페이스를 새로운 컨테이너에 공개하는 방식이다.
동작 방식
타깃 컨테이너의 Endpoint에 대한 환경변수를 만든다.
새로운 컨테이너에 대한 IP 주소에 대한 링크가 새로운 컨테이너의 DNS에 추가된다.
도커는 컨테이너 간의 통신을 disable 하고 링크된 컨테이너에 특정된 방화벽 설정을 만든다.
--link (target):(source) : source IP 주소를 target 주소로 link
docker run -d --name importantData --expose 3306 dockerinaction/mysql_noauth service mysql_noauth start docker run -d --name importantWebapp --link imporantData:db dockerinaction/ch5_web startapp.sh -db tcp://db:3306
docker run -d --name buggyProgram dockerinaction/ch5_buggy
컨테이너 importantWebapp은 importantData 컨테이너의 IP 주소를 링크로 접근 가능해지므로 데이터베이스에 대한 커넥션을 open 할 수 있다. 하지만 새로운 컨테이너는 이 데이터베이스 컨테이너에 접근할 방법이 없어지므로 보호된다.
Link Alias
--link (target):(source)
source는 실행될 컨테이너가 사용할 target 주소에 대한 alias 별칭 이름이다. 여러 target 주소를 여러 alias 별칭으로 링크가 가능하다.
docker run --link a:alias-a --link b:alias-b --link c:alias-c ...
링크로 새로운 컨테이너를 항상 정상적으로 실행하기 위해서는 주입할 기존 컨테이너가 실행되어 있음을 보장해야한다.
환경변수 변경 메커니즘
한 컨테이너에서 특정 포트를 expose 한 뒤 새로운 컨테이너에 기존 컨테이너의 IP 주소를 link하여 실행해본다.
docker run -d --name mydb --expose 2222 --expose 3333 --expose 4444/udp alpine:latest nc -l 0.0.0.0:2222
docker run -it --rm --link mydb:database dockerinaction/ch5_ff env
docker stop mydb && docker rm mydb
새로 실행된 컨테이너의 환경 변수에는 링크된 컨테이너의 link alias에 의해 다음과 같이 추가된다.
- [ALIAS]_PORT_[PORT_NUMBER]_[PROTOCOL]_PORT : 링크된 포트 번호
- [ALIAS]_PORT_[PORT_NUMBER]_[PROTOCOL]_ADDR : 링크된 IP 주소
- [ALIAS]_PORT_[PORT_NUMBER]_[PROTOCOL]_PROTO : 링크된 네트워크 인터페이스의 Protocol
- [ALIAS]_PORT_[PORT_NUMBER]_[PROTOCOL] : url 형식으로 표현된 인터페이스
ex) DATABASE_PORT_3333_TCP=tcp://172.17.0.5:3333
* [ALIAS]_PORT 환경 변수는 특별하게 공개된 포트 중 하나가 선택되어 설정된다.
링크 설정은 전파되지 않는다.
Container B에 Container A가 link 그리고 Container C에 Contaienr B가 링크되었더라도 Container C에서 Container A가 링크되지는 않는다.
링크는 컨테이너가 생성될 때 주입되며 기존 컨테이너가 있을 때만 가능하다. 의존하는 컨테이너가 실패로 재시작할 때 IP 주소가 변경되면 링크는 무효화된다. 따라서 의존성을 가지는 컨테이너를 재시작해야할 수 도 있다.