Docker 网络深度解析：打破容器的“孤岛效应”

—— 为什么 localhost 连不上容器？如何让容器互联互通？

Docker 的核心理念是“隔离”。文件系统隔离了，进程隔离了，网络自然也隔离了。
默认情况下，每一个容器都像是一个独立的“孤岛”。如果不修桥铺路，它们既听不到外面的声音，也无法把消息传给隔壁的邻居。

Docker 网络就是这个“修桥铺路”的工程。

---

第一章：Docker 的四种网络模式

Docker 提供了四种基础网络模式，理解它们的区别是排查网络问题的基础。

1. Bridge 模式（默认模式）

这是你什么都不配置时，Docker 默认使用的模式。

• 原理：Docker 在宿主机上虚拟了一个网桥（通常叫 docker0），类似于一个虚拟交换机。所有的容器都插在这个交换机上，并分配一个内部 IP（如 172.17.0.2）。
• 特点：
  • 容器之间可以通过内部 IP 互相访问（但不推荐用 IP，后文会讲）。
  • 容器要被外部访问，必须使用 -p 进行端口映射（Port Mapping）。
• 适用场景：绝大多数单机应用。

2. Host 模式

• 命令：--network host
• 原理：容器不再拥有独立的网络栈（没有自己的 IP，没有自己的端口范围），而是直接共用宿主机的网卡。
• 特点：
  • 速度快：没有中间商（网桥）赚差价，性能最好。
  • 端口冲突：如果宿主机 80 端口被占用了，容器就起不来了。你不能再使用 -p 映射端口，因为容器端口就是宿主机端口。
• 适用场景：对网络性能要求极高，或者端口数量巨大的服务。

3. None 模式

• 命令：--network none
• 原理：容器有网络栈，但没有网卡，没有 IP，只有 127.0.0.1。
• 特点：完全断网，极其安全。
• 适用场景：只需要计算、不需要联网的批处理任务（比如生成随机密码、处理敏感数据）。

4. Container 模式（高级）

• 命令：--network container:另一个容器名
• 原理：新容器和旧容器共享同一个 IP 和端口范围。它们之间可以通过 localhost 直接通信！
• 适用场景：K8s 的 Pod 核心原理就是这个。常用于 Sidecar 模式（比如一个容器跑业务，另一个容器抓取它的流量做监控）。

---

第二章：实战——为什么你必须使用“自定义网络”？

这是新手进阶最关键的一步。

痛点：默认 Bridge 的缺陷

在默认的 bridge 网络下，容器只能通过 IP 通信。
但是，容器重启后，IP 是会变的！
你总不能在代码里写死 172.17.0.3 吧？万一重启后变成了 172.17.0.4 怎么办？

解决方案：自定义网络 (User-Defined Network)

当你创建自定义网络时，Docker 会提供一个神奇的功能：自动 DNS 解析（Service Discovery）。
这意味着，你可以直接用容器的名字当作 IP 地址来访问！

实战演练

1. 创建一个自定义网络

docker network create my-net

2. 启动 MySQL（加入这个网络）

docker run -d \
  --name database \
  --network my-net \
  -e MYSQL_ROOT_PASSWORD=secret \
  mysql:5.7

注意：这里我们给容器起了个名字叫 database。

3. 启动一个 Web 服务（加入同一个网络）
为了测试，我们启动一个轻量级的 alpine 容器来模拟 Web 服务。

docker run -it --rm \
  --network my-net \
  alpine sh

4. 见证奇迹
在 alpine 容器内部，我们要去连接数据库。不要 ping IP，直接 ping 名字！

# 在容器内部执行
ping database

# 输出：
# PING database (172.18.0.2): 56 data bytes
# 64 bytes from 172.18.0.2: seq=0 ttl=64 time=0.1 ms

解析：Docker 自动把 database 这个域名解析成了 MySQL 容器当前的 IP。无论 MySQL 重启多少次，IP 怎么变，只要名字没变，Web 服务就能永远找到它。

---

第三章：Docker Compose 的网络魔法

如果你使用 docker-compose，事情会变得更简单。

Compose 默认就会为你的项目创建一个自定义网络。

回顾上一篇的 docker-compose.yml：

services:
  web:
    build: .
    depends_on:
      - redis
    environment:
      - REDIS_HOST=redis  # <--- 注意这里

  redis:
    image: "redis:alpine"

原理解析：

1. 当你执行 docker-compose up 时，Docker 自动创建了一个叫 项目名_default 的网络。
2. web 和 redis 容器自动加入了这个网络。
3. 在 web 容器里，你直接用服务名 redis 就能连上 Redis 容器。
4. 这就是为什么配置文件里写 REDIS_HOST=redis 而不是写 IP 的原因。

---

第四章：常见网络问题排查 (Troubleshooting)

网络不通是 Docker 最大的坑。遇到问题，请按以下步骤排查：

1. 容器连不上宿主机？

场景：代码在容器里跑，数据库在宿主机（没装在 Docker 里）。
错误做法：在代码里写 localhost 或 127.0.0.1。
原因：容器里的 localhost 指的是容器自己，不是宿主机。
正确做法：

• Linux: 使用宿主机的局域网 IP（如 192.168.1.5）。
• Mac/Windows: Docker 提供了一个特殊 DNS host.docker.internal，它指向宿主机。

2. 宿主机连不上容器？

场景：容器跑起来了，但浏览器访问 localhost:8080 打不开。
排查：

1. 检查启动命令有没有加 -p 端口映射。
2. 检查容器内部应用监听的端口。重点：应用必须监听 0.0.0.0，不能监听 127.0.0.1。
   • 如果 Flask/Django 启动时监听 127.0.0.1，那么它只接受容器内部的请求，宿主机转发进来的流量会被拒绝。

3. 两个容器连不上？

排查：

1. 确定它们在同一个 Network 下吗？

   docker network inspect my-net
   

   看 Containers 列表里有没有这两个容器。
2. 不要用 IP，用服务名（Container Name）通信。

---

第五章：常用网络命令速查表

# 列出所有网络
docker network ls

# 查看某个网络的详细信息（包含网段、连接了哪些容器）
docker network inspect [网络名]

# 创建网络
docker network create [网络名]

# 删除网络
docker network rm [网络名]

# 强行把一个运行中的容器加入到某个网络
docker network connect [网络名] [容器名]

# 把容器踢出某个网络
docker network disconnect [网络名] [容器名]

---

总结

Docker 网络看似复杂，其实核心就两句话：

1. 对外通信：用 端口映射 (-p)，把容器的门牌号挂到宿主机门口。
2. 对内通信：用 自定义网络 (docker network create)，利用 Docker 的内置 DNS，通过容器名互联，忘掉 IP 地址。

掌握了这两点，90% 的 Docker 网络问题都能迎刃而解。