怎么从传统的Linux网络视角理解容器网络？《一》

Feb 08 2022

怎么从传统的Linux网络视角理解容器网络？《一》

阿里云代理

分类：linux图文教程阅读次数

已被围观 657 次

前提条件

任意Linux发行版都能够。本文的一切例子都是在vagrant CentOS 8的虚拟机上履行的：

$ vagrant init centos/8 $ vagrant up $ vagrant ssh  [vagrant@localhost ~]$ uname -a Linux localhost.localdomain 4.18.0-147.3.1.el8_1.x86_64

为了简略起见，本文运用容器化解决方案（比如，Docker或者Podman）。咱们会重点介绍基本概念，并运用最简略的东西来达到学习目标。

network命名空间阻隔容器

Linux网络栈包含哪些部分？明显，是一系列网络设备。还有别的吗？或许还包含一系列的路由规矩。而且不要忘记，netfilter hook，包含由iptables规矩定义的。

咱们能够快速创立一个并不杂乱的脚本inspect-net-stack.sh：

#!/usr/bin/env bash echo  "> Network devices" ip link  echo -e "\\n> Route table" ip route  echo -e "\\n> Iptables rules" iptables --list-rules

在运行脚本前，让咱们修改下iptable rule：

$ sudo iptables -N ROOT_NS

这之后，在机器上履行上面的脚本，输出如下：

$ sudo ./inspect-net-stack.sh  > Network devices  1: lo:  mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00  2: eth0:  mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000 link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff  > Route table  default via 10.0.2.2 dev eth0 proto dhcp metric 100  10.0.2.0/24 dev eth0 proto kernel scope link src 10.0.2.15 metric 100  > Iptables rules  -P INPUT ACCEPT  -P FORWARD ACCEPT  -P OUTPUT ACCEPT  -N ROOT_NS

咱们对这些输出感兴趣，由于要确保行将创立的每个容器都有各自独立的网络栈。

你或许已经知道了，用于容器阻隔的一个Linux命名空间是网络命名空间（network namespace）。从man ip-netns能够看到，“网络命名空间是网络栈逻辑上的另一个副本，它有自己的路由，防火墙规矩和网络设备。”为了简化起见，这是本文运用的唯一的命名空间。咱们并没有创立彻底阻隔的容器，而是将规模限制在网络栈上。

创立网络命名空间的一种办法是IP东西——是iproute2的一部分：

$ sudo ip netns add netns0 $ ip netns netns0

怎么运用方才创立的命名空间呢？一个很好用的指令nsenter。进入一个或多个特定的命名空间，然后履行指定的脚本：

$ sudo nsenter --net=/var/run/netns/netns0 bash  # 新建的bash进程在netns0里  $ sudo ./inspect-net-stack.sh  > Network devices 1: lo:mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00  > Route table  > Iptables rules  -P INPUT ACCEPT  -P FORWARD ACCEPT  -P OUTPUT ACCEPT

从上面的输出能够清楚地看到bash进程运行在netns0命名空间，这时看到的是彻底不同的网络栈。这儿没有路由规矩，没有自定义的iptables chain，只要一个loopback的网络设备。

图片.png

运用虚拟的Ethernet设备（veth）将容器衔接到主机上

假如咱们无法和某个专有的网络栈通讯，那么它看上去就没什么用。走运的是，Linux供给了好用的东西——虚拟Ethernet设备。从man veth能够看到，“veth设备是虚拟Ethernet设备。他们能够作为网络命名空间之间的通道（tunnel），从而创立衔接到另一个命名空间里的物理网络设备的桥梁，可是也能够作为独立的网络设备运用。”

虚拟Ethernet设备一般都成对呈现。不用担心，先看一下创立的脚本：

$ sudo ip link add veth0 type veth peer name ceth0

用这条简略的指令，咱们就能够创立一对互联的虚拟Ethernet设备。默认挑选了veth0和ceth0这两个名称。

$ ip link 1: lo:  mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 2: eth0:  mtu 1500 qdisc fq_codel state UP mode DEFAULT group default qlen 1000  link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff 5: ceth0@veth0:  mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000  link/ether 66:2d:24:e3:49:3f brd ff:ff:ff:ff:ff:ff 6: veth0@ceth0:  mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000  link/ether 96:e8:de:1d:22:e0 brd ff:ff:ff:ff:ff:ff

创立的veth0和ceth0都在主机的网络栈（也称为root网络命名空间）上。将netns0命名空间衔接到root命名空间，需要将一个设备留在root命名空间，另一个挪到netns0里：

$ sudo ip link set ceth0 netns netns0  # 列出一切设备，能够看到ceth0已经从root栈里消失了  $ ip link 1: lo:  mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00  2: eth0:  mtu 1500 qdisc fq\_codel state UP mode DEFAULT group default qlen 1000  link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff  6: veth0@if5:  mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000  link/ether 96:e8:de:1d:22:e0 brd ff:ff:ff:ff:ff:ff link-netns netns0

一旦启用设备而且分配了适宜的IP地址，其间一个设备上产生的包会马上呈现在其配对设备里，从而衔接起两个命名空间。从root命名空间开端：

$ sudo ip link set veth0 up $ sudo ip addr add 172.18.0.11/16 dev veth0

然后是netns0：

$ sudo nsenter --net=/var/run/netns/netns0 $ ip link set lo up $ ip link set ceth0 up $ ip addr add 172.18.0.10/16 dev ceth0 $ ip link 1: lo:  mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000  link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 5: ceth0@if6:  mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000  link/ether 66:2d:24:e3:49:3f brd ff:ff:ff:ff:ff:ff link-netnsid 0

图片.png

检查连通性：

# 在netns0里ping root的 veth0  $ ping -c 2 172.18.0.11  PING 172.18.0.11 (172.18.0.11) 56(84) bytes of data.  64 bytes from 172.18.0.11: icmp_seq=1 ttl=64 time=0.038 ms  64 bytes from 172.18.0.11: icmp_seq=2 ttl=64 time=0.040 ms  --- 172.18.0.11 ping statistics ---  2 packets transmitted, 2 received, 0% packet loss, time 58ms  rtt min/avg/max/mdev = 0.038/0.039/0.040/0.001 ms  # 脱离 netns0  $ exit  # 在root命名空间里ping ceth0  $ ping -c 2 172.18.0.10  PING 172.18.0.10 (172.18.0.10) 56(84) bytes of data.  64 bytes from 172.18.0.10: icmp_seq=1 ttl=64 time=0.073 ms  64 bytes from 172.18.0.10: icmp_seq=2 ttl=64 time=0.046 ms  --- 172.18.0.10 ping statistics ---  2 packets transmitted, 2 received, 0% packet loss, time 3ms  rtt min/avg/max/mdev = 0.046/0.059/0.073/0.015 ms

一起，假如测验从netns0命名空间拜访其他地址，也同样能够成功：

# 在 root 命名空间  $ ip addr show dev eth0  2: eth0:  mtu 1500 qdisc fq_codel state UP group default qlen 1000  link/ether 52:54:00:e3:27:77 brd ff:ff:ff:ff:ff:ff  inet 10.0.2.15/24 brd 10.0.2.255 scope global dynamic noprefixroute eth0  valid_lft 84057sec preferred_lft 84057sec  inet6 fe80::5054:ff:fee3:2777/64 scope link  valid_lft forever preferred_lft forever  # 记住这儿IP是10.0.2.15  $ sudo nsenter --net=/var/run/netns/netns0  # 测验ping主机的eth0  $ ping 10.0.2.15  connect: Network is unreachable  # 测验衔接外网  $ ping 8.8.8.8  connect: Network is unreachable

这也很好了解。在netns0路由表里没有这类包的路由。唯一的entry是怎么抵达172.18.0.0/16网络：

# 在netns0命名空间:  $ ip route  172.18.0.0/16 dev ceth0 proto kernel scope link src 172.18.0.10

Linux有好几种方法树立路由表。其间一种是直接从网络接口上提取路由。记住，命名空间创立后， netns0里的路由表是空的。可是随后咱们添加了ceth0设备而且分配了IP地址172.18.0.0/16。由于咱们运用的不是简略的IP地址，而是地址和子网掩码的组合，网络栈能够从其间提取出路由信息。目的地是172.18.0.0/16的每个网络包都会通过ceth0设备。可是其他包会被丢弃。相似的，root命名空间也有了个新的路由：

# 在root命名空间:  $ ip route  # ... 忽略无关行 ...  172.18.0.0/16 dev veth0 proto kernel scope link src 172.18.0.11

这儿，就能够答复第一个问题了。咱们了解了怎么阻隔，虚拟化而且衔接Linux网络栈。

【上一篇】怎么从传统的Linux网络视角理解容器网络？《二》
【下一篇】史上最便捷搭建 Zookeeper 的方法！

本公司销售：阿里云、腾讯云、百度云、天翼云、金山大米云、金山企业云盘！可签订合同，开具发票。

我有话说：点击这里取消回复