企业官网建设流程全解析

Docker 网络模式与容器间通信：从 Bridge 到 Overlay 的方案选型

一、容器网络的"看不见的墙"：容器之间为什么不能直接通信？

Docker 默认为每个容器创建独立的网络命名空间，容器之间默认隔离——就像不同子网的机器无法直接通信。开发时用docker-compose感觉一切正常，因为 compose 自动创建了共享网络。但到了生产环境，跨主机容器通信、服务发现、网络策略等问题接踵而来。

Docker 网络的核心是"理解不同网络模式的适用场景"。Bridge 适合单主机，Overlay 适合跨主机，Host 适合高性能，None 适合安全隔离。选错网络模式，要么性能差（Overlay 的 VXLAN 封装开销），要么不安全（Host 模式无隔离），要么通信不通（不同网络模式的容器默认不可达）。

二、Docker 网络模式对比

graph TB subgraph Bridge模式 A[容器A<br/>172.17.0.2] --> D[docker0 网桥<br/>172.17.0.1] B[容器B<br/>172.17.0.3] --> D D --> E[宿主机 eth0] end subgraph Overlay模式 F[容器C<br/>10.0.0.2] --> G[VXLAN 隧道] H[容器D<br/>10.0.0.3] --> I[VXLAN 隧道] G --> J[跨主机通信] I --> J end subgraph Host模式 K[容器E] --> L[直接使用宿主机网络栈<br/>无隔离] end

Bridge 模式通过 docker0 网桥连接同主机容器，NAT 访问外部网络；Overlay 模式通过 VXLAN 隧道连接跨主机容器，适合 Swarm/Kubernetes；Host 模式直接使用宿主机网络栈，无隔离但性能最好。

三、实现

3.1 自定义 Bridge 网络

import subprocess import json class DockerNetworkManager: """Docker 网络管理器""" def create_bridge_network( self, name: str, subnet: str = "172.20.0.0/16" ) -> dict: """创建自定义 Bridge 网络""" cmd = [ 'docker', 'network', 'create', '--driver', 'bridge', '--subnet', subnet, '--opt', 'com.docker.network.bridge.enable_icc=true', '--opt', 'com.docker.network.bridge.enable_ip_masquerade=true', name, ] result = subprocess.run( cmd, capture_output=True, text=True ) return { 'network_id': result.stdout.strip(), 'name': name, 'subnet': subnet, } def create_overlay_network( self, name: str, subnet: str = "10.0.0.0/24", encrypted: bool = True, ) -> dict: """创建 Overlay 网络（跨主机）""" cmd = [ 'docker', 'network', 'create', '--driver', 'overlay', '--subnet', subnet, '--attachable', ] if encrypted: cmd.extend(['--opt', 'encrypted']) cmd.append(name) result = subprocess.run( cmd, capture_output=True, text=True ) return { 'network_id': result.stdout.strip(), 'name': name, 'type': 'overlay', 'encrypted': encrypted, } def connect_container( self, container: str, network: str, alias: str = None ) -> bool: """将容器连接到网络""" cmd = [ 'docker', 'network', 'connect', network, container, ] if alias: cmd.extend(['--alias', alias]) result = subprocess.run( cmd, capture_output=True, text=True ) return result.returncode == 0 def inspect_network(self, name: str) -> dict: """查看网络详情""" result = subprocess.run( ['docker', 'network', 'inspect', name], capture_output=True, text=True, ) if result.returncode == 0: return json.loads(result.stdout)[0] return {}

3.2 容器间 DNS 与服务发现

# docker-compose.yml：自定义网络 + DNS 别名 version: '3.8' networks: backend: driver: bridge ipam: config: - subnet: 172.20.0.0/16 frontend: driver: bridge ipam: config: - subnet: 172.21.0.0/16 services: api: image: api-server:latest networks: backend: aliases: - api.internal frontend: aliases: - api.public environment: - DB_HOST=postgres.internal - REDIS_HOST=redis.internal postgres: image: postgres:15 networks: backend: aliases: - postgres.internal volumes: - pgdata:/var/lib/postgresql/data redis: image: redis:7 networks: backend: aliases: - redis.internal nginx: image: nginx:latest networks: frontend: aliases: - gateway.public ports: - "80:80"

3.3 网络性能测试

import time import subprocess class NetworkBenchmark: """容器网络性能测试""" def benchmark_bandwidth( self, server_container: str, client_container: str ) -> dict: """测试容器间带宽""" # 在 server 容器启动 iperf3 服务端 subprocess.run([ 'docker', 'exec', '-d', server_container, 'iperf3', '-s', ]) time.sleep(1) # 在 client 容器运行 iperf3 客户端 result = subprocess.run([ 'docker', 'exec', client_container, 'iperf3', '-c', server_container, '-J', # JSON 输出 ], capture_output=True, text=True, timeout=30) if result.returncode == 0: data = json.loads(result.stdout) bps = data['end']['sum_received']['bits_per_second'] return { 'bandwidth_mbps': bps / 1e6, 'mode': 'tcp', } return {'error': result.stderr} def benchmark_latency( self, target_container: str, count: int = 100 ) -> dict: """测试容器间延迟""" result = subprocess.run([ 'docker', 'exec', target_container, 'ping', '-c', str(count), 'localhost', ], capture_output=True, text=True, timeout=30) # 解析 ping 输出 lines = result.stdout.strip().split('\n') stats_line = lines[-1] if lines else '' return { 'target': target_container, 'raw_output': stats_line, }

四、Docker 网络的 Trade-offs 分析

Bridge vs. Overlay 性能：Bridge 网络延迟约 0.05ms（同主机内核转发），Overlay 网络延迟约 0.5ms（VXLAN 封装+跨主机传输）。对延迟敏感的服务（数据库、缓存）应部署在同一主机使用 Bridge 网络，跨主机通信用 Overlay。

Host 模式的安全风险：Host 模式无网络隔离，容器可以直接访问宿主机的所有网络接口和端口。只适合对网络性能有极端要求的场景（如网络代理、负载均衡器），且容器必须是可信的。

DNS 解析延迟：Docker 内置 DNS 在容器启动/停止时会更新，但更新有延迟（约 1-5 秒）。高频服务发现场景（如微服务启动时大量 DNS 查询）可能遇到解析失败。解决方案是使用缓存（dnsmasq）或直接用 IP 地址。

网络策略：Docker 原生不支持网络策略（NetworkPolicy），无法限制容器间的访问。Kubernetes 的 Calico/Weave 插件支持网络策略。如果需要网络隔离，建议使用 Kubernetes 而非纯 Docker。

五、总结

Docker 网络的核心是"选择合适的网络模式"。Bridge 适合单主机容器通信，Overlay 适合跨主机，Host 适合高性能场景。自定义 Bridge 网络提供 DNS 解析和容器名访问，比默认 Bridge 更好用。

落地建议：单主机开发用自定义 Bridge 网络（docker-compose 自动创建），跨主机生产用 Overlay 或 Kubernetes CNI。数据库和缓存部署在同一主机使用 Bridge 网络，降低延迟。需要网络策略时使用 Kubernetes + Calico，而非纯 Docker。