我懵了，docker容器访问不了外部网络

欢迎来到我的博客，代码的世界里，每一行都是一个故事

在这里插入图片描述

🎏：你只管努力，剩下的交给时间

🏠 ：小破站

我懵了，docker容器访问不了外部网络

- 前戏
- docker中的bridge网络详解
- 解决
- 加餐

前戏

事情的起因是我在服务器A中部署了一个用docker实现的java项目，这个项目中依赖于另一台服务器中的elasticsearch，但是一直显示无法连接，

进入容器ping一下试试看

很显然，网络不通

docker中的bridge网络详解

在 Docker 中，bridge 网络 是最常用的网络模式之一，它通过虚拟网桥（如默认的 docker0）来连接容器。容器之间以及容器与外部网络的通信，需要依赖 Linux 主机的 IP 转发功能。这是因为 Docker 网络模型本质上是通过 Linux 的虚拟网络设备、iptables 和 IP 转发等内核功能来实现的。

1. 什么是 Docker bridge 网络？

当 Docker 启动时，它会自动创建一个名为 docker0 的虚拟网桥，类似于一个软件交换机。所有使用 bridge 模式运行的容器，都会自动连接到 docker0 上，并被分配一个 IP 地址。

2. IP 转发的作用

当你在 Docker 中使用 bridge 网络时，IP 转发 起到以下关键作用：

1. 容器与外部网络的通信：当容器 A（在 docker0 网络中）想要访问外部网络（比如互联网或其他主机）时，数据包会通过 docker0 虚拟网桥被发送到主机的网络接口（如 eth0）。在这种情况下，主机必须启用 IP 转发功能，才能将这些数据包从 docker0 转发到外部网络。

2. 容器之间的通信：容器 A 和容器 B 在 docker0 虚拟网桥上被分配了不同的 IP 地址，Linux 需要启用 IP 转发来在它们之间路由数据包。例如，容器 A 的 IP 地址为 172.17.0.2，容器 B 的 IP 地址为 172.17.0.3，如果 A 需要与 B 通信，数据包需要通过 docker0 网桥进行转发。

3. NAT（网络地址转换）和外部访问：为了使容器能够访问外部网络（如互联网），Docker 通常会通过 NAT 来隐藏容器的内部 IP 地址（例如 172.17.0.x），这需要主机具有 IP 转发能力。Docker 会通过 iptables 将内部容器网络的流量进行 SNAT（源地址转换），并转发到主机的物理网络接口上。

3. IP 转发如何帮助 Docker 网络工作？

在 Linux 主机中，IP 转发的配置位于 /proc/sys/net/ipv4/ip_forward。如果该值为 0，则表示 IP 转发被禁用；如果该值为 1，则表示启用。Docker 依赖这个设置来实现容器与外部网络之间的通信。

当 Docker 创建 bridge 网络时，内部机制包括以下几步：

1. 创建虚拟网桥（如 docker0**）**。

2. 给每个连接到该网桥的容器分配一个虚拟网卡（veth 设备）。

3. 配置 IP 转发：确保 Linux 主机启用了 IP 转发，以便将不同网络接口之间的数据包进行转发。

Docker 通过这种方式，将每个容器的 veth 设备与虚拟网桥 docker0 连接，形成一个桥接网络。Linux 内核的 IP 转发机制则负责管理这些网络接口之间的通信。

4. 配置 IP 转发的步骤

在 Docker 主机上启用 IP 转发通常是自动的，但如果你需要手动启用或进行故障排查，可以参考以下步骤：

检查 IP 转发是否启用：cat /proc/sys/net/ipv4/ip_forward

2. 临时启用 IP 转发（在系统重启前有效）：echo 1 > /proc/sys/net/ipv4/ip_forward

3. 永久启用 IP 转发：编辑 /etc/sysctl.conf 文件，添加或修改以下内容：net.ipv4.ip_forward = 1

然后运行以下命令以应用：sysctl -p

5. bridge 网络中的 NAT 和 iptables

为了使容器能够访问外部网络，Docker 会自动配置 NAT 规则。Docker 默认会在 docker0 网桥上创建 iptables 规则，使得从内部网络发往外部的流量进行 SNAT（源地址转换）。这就意味着，来自容器的请求会以主机的 IP 地址作为源 IP 发往外部网络，这样容器之间和容器与外部网络之间的通信才得以实现。

例如：

• Docker 会创建如下的 iptables 规则来进行 NAT：iptables -t nat -A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE