导读：Docker网络是容器通信的核心基础，也是后端、运维、云原生必备核心知识点。很多开发者只会简单docker run -p端口映射，却不懂容器互通、跨主机通信、网络隔离的底层逻辑。本文从零拆解Docker网络底层原理、核心组件、五大网络模式，搭配手绘流程图+场景图解+实战命令，零基础也能彻底看懂，文末附生产环境网络选型最佳实践。

前置说明：本文所有图示、命令均基于Docker官方标准架构，适配CentOS、Ubuntu主流服务器系统，所有实操命令可直接复制执行。

一、Docker网络核心作用

容器本质是隔离的进程，网络是打破隔离、实现数据交互的关键。Docker网络主要解决3大核心问题：

1. 容器与宿主机通信：容器访问宿主机服务、宿主机管理容器
2. 容器与外部互联网通信：容器拉取镜像、请求外网接口
3. 容器与容器通信：同一服务多容器、微服务跨容器调用
4. 跨主机容器通信：多服务器集群环境下，不同节点容器互通

二、Docker网络底层核心原理

Docker网络并非自研网络协议，而是基于Linux内核原生网络技术实现，核心依赖3大内核能力，也是所有Docker网络模式的底层基石。

2.1 核心底层组件

• 网络命名空间（Network Namespace）：实现网络隔离的核心，为每个容器创建独立的网络栈（独立网卡、IP、路由表、iptables规则、端口），容器之间网络互不干扰，是容器网络隔离的本质来源。

• Veth Pair（虚拟网卡对）：虚拟网线，成对出现，一端连接容器网络命名空间，一端连接宿主机网桥，实现容器与宿主机网络的数据转发。

• Linux Bridge（虚拟网桥）：虚拟交换机，默认docker0网桥，负责同一网段容器的数据转发、局域网通信。

• Iptables：实现端口映射、NAT转发、网络访问权限控制，支撑容器外网访问和外部访问容器。

• CNM网络模型：Docker官方网络管理模型（libnetwork），统一管理各类网络驱动，标准化容器网络创建、连接、销毁流程。

2.2 Docker默认网络初始化流程（流程图）

Docker服务启动后，会自动初始化默认网络环境，流程如下：

1. Docker守护进程启动 → 初始化libnetwork组件
2. 系统创建默认虚拟网桥 docker0（虚拟交换机）
3. 自动为docker0分配内网网段（默认 172.17.0.0/16）
4. 初始化iptables NAT、FORWARD转发规则
5. 加载默认5种网络驱动，完成网络环境初始化

2.3 单容器网络通信结构图解

容器启动后完整网络链路：容器eth0网卡 → Veth Pair虚拟网线 → docker0网桥 → 宿主机网卡 → 外网

# 拓扑简图
[外网] <--> [宿主机物理网卡] <--> [docker0网桥]
                              ↓
                       [Veth Pair虚拟对]
                              ↓
                    [容器独立网络命名空间]
                       （eth0 + 独立IP）

三、Docker五大网络模式详解（核心重点）

Docker内置5种网络驱动模式，适配单机隔离、单机互通、集群互通、独占网络、无网络等所有场景，执行 docker network ls 可查看默认网络：

# 查看docker所有网络
docker network ls

# 输出默认5种网络
NETWORK ID     NAME      DRIVER    SCOPE
xxxxxxx        bridge    bridge    local   # 默认桥接网络（最常用）
xxxxxxx        host      host      local   # 宿主机网络模式
xxxxxxx        none      null      local   # 无网络隔离
xxxxxxx        overlay   overlay   swarm   # 集群跨主机网络
xxxxxxx        macvlan   macvlan   local   # 物理网卡直连模式

3.1 Bridge 桥接模式（默认模式）

核心特点：Docker默认网络模式，单机容器专用，自动隔离网络、支持容器互通、支持端口映射。

3.1.1 工作原理

1. 所有默认启动的容器，全部接入 docker0虚拟网桥；
2. 每个容器拥有独立网络命名空间、独立内网IP（172.17.x.x）；
3. 同一网桥下的容器可通过内网IP互通，不同网桥容器默认隔离；
4. 通过iptables NAT规则实现容器访问外网，通过 -p 宿主机端口:容器端口 实现外网访问容器。

3.1.2 Bridge模式通信流程图

# 同主机多容器互通拓扑
容器A(172.17.0.2) --veth--> docker0网桥 <--veth-- 容器B(172.17.0.3)
        ↓                          ↓
    独立网络隔离              统一数据转发

3.1.3 优缺点与适用场景

优点：默认开箱即用、网络隔离安全、支持端口映射、单机容器互通稳定

缺点：仅支持单机、无法跨主机通信、默认docker0网桥无DNS域名解析

适用场景：单机部署多个容器、日常开发测试、单机业务服务

3.1.4 实操命令

# 1. 默认bridge模式启动容器（无需指定--network）
docker run -d --name nginx1 nginx

# 2. 手动指定bridge网络启动
docker run -d --name nginx2 --network bridge nginx

# 3. 自定义bridge网络（推荐生产，自带DNS解析）
docker network create my-bridge
docker run -d --name nginx3 --network my-bridge nginx

💡 关键区别：默认docker0网桥不支持容器名互访，自定义bridge网络自带DNS解析，可直接通过容器名称通信，生产环境优先用自定义网桥。

3.2 Host 宿主机模式

核心特点：放弃容器网络隔离，容器直接复用宿主机网络栈，无独立IP、无需端口映射。

3.2.1 工作原理

1. 不创建独立容器网络命名空间，直接共享宿主机网卡、IP、端口、路由；
2. 容器IP = 宿主机IP，容器端口直接占用宿主机端口；
3. 无需端口映射，外网可直接通过宿主机IP+端口访问容器。

3.2.2 Host模式拓扑图

[宿主机网络栈(IP+端口+网卡)]
          ↓ 共享复用
[容器] 无独立网络、无虚拟网卡、直接占用宿主机端口

3.2.3 优缺点与适用场景

优点：网络性能最高、无转发损耗、无需端口映射

缺点：丧失网络隔离、端口冲突风险高、安全性差

适用场景：高性能需求服务（日志收集、监控、网关）、单机独占服务

3.2.4 实操命令

# host模式启动容器，禁止-p端口映射（会报错）
docker run -d --name nginx-host --network host nginx

3.3 None 空网络模式

核心特点：关闭所有网络功能，容器仅有本地回环网卡，无法联网、无法与任何设备通信。

3.3.1 工作原理

容器创建独立网络命名空间，但不挂载任何虚拟网卡、不接入任何网桥，仅保留127.0.0.1本地回路，完全隔离网络。

3.3.2 优缺点与适用场景

优点：绝对安全、零网络风险 缺点：无任何外网、内网通信能力 适用场景：纯本地计算任务、安全隔离的离线服务、数据加密处理容器

3.3.3 实操命令

docker run -d --name test-none --network none busybox

3.4 Overlay 集群网络模式（重点）

核心特点：跨主机容器通信专属网络，基于Swarm集群，实现多服务器容器无缝互通，是Docker集群核心网络。

3.4.1 工作原理

1. 在所有集群节点之上构建一层虚拟覆盖网络，独立于宿主机物理网络；
2. 通过VXLAN隧道协议，封装跨主机容器数据包，实现不同服务器容器二层互通；
3. 自带DNS解析、负载均衡、网络加密，支持集群服务发现。

3.4.2 Overlay跨主机通信流程图

节点A容器(10.0.0.2) → VXLAN隧道封装 → 物理网络传输 → 解包 → 节点B容器(10.0.0.3)

3.4.3 优缺点与适用场景

优点：支持跨主机互通、集群统一网络、自带服务发现、安全性高 缺点：有轻微隧道封装损耗、需依赖Swarm集群 适用场景：Docker Swarm集群、微服务多节点部署、分布式容器应用

3.4.4 实操命令

# 1. 初始化swarm集群
docker swarm init

# 2. 创建overlay集群网络
docker network create -d overlay swarm-net

# 3. 集群模式启动容器，接入overlay网络
docker service create --name swarm-nginx --network swarm-net nginx

3.5 Macvlan 物理直连模式

核心特点：让容器拥有独立物理IP、独立MAC地址，直接接入宿主机物理局域网，等同于一台独立物理服务器。

3.5.1 工作原理

直接基于宿主机物理网卡虚拟出多个子网卡，每个容器绑定独立MAC和局域网真实IP，脱离docker0网桥，局域网内设备可直接访问容器。

3.5.2 优缺点与适用场景

优点：网络性能极强、容器独立局域网IP、无NAT转发、适配老旧系统 缺点：占用物理网段、配置复杂、不适合大规模集群 适用场景：需要独立内网IP的业务、老旧系统对接、局域网独立服务部署

3.5.3 实操命令

# 创建macvlan网络（绑定宿主机eth0网卡，自定义网段）
docker network create -d macvlan \
--subnet=192.168.1.0/24 \
--gateway=192.168.1.1 \
-o parent=eth0 macvlan-net

四、核心通信场景深度图解

4.1 同主机容器互通（自定义Bridge）

核心逻辑：同一自定义网桥容器，通过DNS解析+网桥转发，支持容器名/IP双向互通，无需复杂配置。 流程：容器A → 网桥DNS解析容器BIP → 网桥转发数据 → 容器B接收

4.2 容器访问外网

核心逻辑：iptables NAT地址转换 流程：容器内网IP → docker0网桥 → 宿主机NAT转发 → 公网IP → 外网服务

4.3 外网访问容器（端口映射）

核心逻辑：iptables端口转发 流程：外网请求宿主机端口 → iptables匹配规则 → 转发至对应容器端口

4.4 跨主机容器互通（Overlay）

核心逻辑：VXLAN隧道封装通信 流程：节点A容器 → 隧道封装数据包 → 物理网络传输 → 节点B解包 → 目标容器接收

五、Docker网络常用运维命令大全

# 1. 查看所有网络
docker network ls

# 2. 查看网络详细信息（网段、连接容器、配置）
docker network inspect 网络名/ID

# 3. 创建自定义网桥网络
docker network create 自定义网络名

# 4. 将已有容器接入指定网络
docker network connect 网络名 容器名

# 5. 断开容器与网络连接
docker network disconnect 网络名 容器名

# 6. 删除闲置网络（清理无效网络）
docker network prune

# 7. 删除指定网络（需先断开所有容器）
docker network rm 网络名

六、生产环境网络模式选型最佳实践

业务场景	推荐网络模式	核心理由
单机常规业务、开发测试	自定义Bridge	隔离安全、支持DNS、稳定易用
高性能监控、日志、网关服务	Host	无网络转发损耗，性能最优
离线计算、安全隔离任务	None	完全断网，零安全风险
Swarm集群、跨主机微服务	Overlay	原生支持跨主机互通、服务发现
需独立内网IP、局域网对接业务	Macvlan	容器独立物理IP，适配传统网络架构

七、常见网络问题排查思路

1. 容器无法上网：检查宿主机网关、iptables NAT规则、dns配置
2. 容器之间无法互通：确认是否接入同一自定义网络、防火墙是否放行
3. 外网无法访问容器：检查端口映射是否正确、宿主机防火墙/云服务器安全组是否放行端口
4. 跨主机容器不通：检查Swarm集群状态、节点防火墙是否放行VXLAN端口、overlay网络配置

八、总结

1. Docker网络底层核心是Linux网络命名空间+Veth+网桥+iptables，所有网络模式均基于内核能力实现；

2. 日常开发优先自定义Bridge，兼顾隔离性、便利性和稳定性；

3. 集群跨主机通信必用Overlay，高性能场景用Host，独立IP场景用Macvlan；

4. 生产环境禁止使用默认docker0网桥，无DNS解析、网络可控性差。