目录

一、Bridge模式的核心架构

二、四大核心组件解析

2.1 docker0网桥：网络的中心枢纽

2.2 veth pair：容器的"虚拟网线"

2.3 iptables：流量控制与NAT转换

2.4 容器网络命名空间：隔离的基础

三、数据流向深度解析

3.1 外部访问容器（入站流量）

3.2 容器访问外网（出站流量）

3.3 容器间通信（内部流量）

四、端口映射机制详解

4.1 iptables规则分析

4.2 连接跟踪机制

五、Bridge网络的优势与局限

5.1 优势

5.2 局限性

六、生产环境最佳实践

6.1 性能优化建议

6.2 安全配置

6.3 故障排查指南

七、Bridge模式适用场景

7.1 推荐使用场景

7.2 不推荐使用场景

总结

---

一、Bridge模式的核心架构

Bridge（桥接）模式是Docker最常用的网络模式，它通过虚拟网桥和端口映射技术，构建了一个既隔离又互联的容器网络环境。这张架构图清晰地展示了其工作原理：

┌─────────────────────────────────────────────┐
│                宿主机网络                    │
│            IP: 宿主机IP地址                  │
│        端口: 8080, 6379, 3306               │
└───────────────┬─────────────────────────────┘
                │ iptables NAT转发
┌───────────────▼─────────────────────────────┐
│              docker0网桥                    │
│            IP: 172.17.0.1/16                │
│        网关: 172.17.0.1                     │
└─┬─────────────┬─────────────┬──────────────┘
  │             │             │
  ▼             ▼             ▼
┌───────┐   ┌───────┐   ┌───────┐
│ Nginx │   │ Redis │   │ MySQL │
│172.17.0.2│   │172.17.0.3│   │172.17.0.4│
│   :80   │   │ :6379 │   │ :3306 │
└───────┘   └───────┘   └───────┘

二、四大核心组件解析

2.1 docker0网桥：网络的中心枢纽

docker0是一个虚拟的以太网桥，由Docker在启动时自动创建：

默认IP：172.17.0.1

子网掩码：/16（65,534个IP地址）

核心功能：连接容器网络接口，实现数据包转发

# 查看docker0网桥状态
brctl show
# 输出：网桥名称、ID、STP状态、连接接口列表

2.2 veth pair：容器的"虚拟网线"

每个容器启动时，Docker会创建一对虚拟以太网设备：

一端在容器内：命名为eth0，分配私有IP（如172.17.0.2）

一端在宿主机：连接到docker0网桥

工作原理：就像一根虚拟的网线，将容器"插入"到docker0网桥上

2.3 iptables：流量控制与NAT转换

iptables是Linux的防火墙工具，Docker利用它实现：

端口映射：将宿主机端口转发到容器端口

NAT转换：容器访问外网时隐藏真实IP

访问控制：限制容器间的网络访问

2.4 容器网络命名空间：隔离的基础

每个容器都有独立的网络命名空间：

独立配置：IP地址、路由表、防火墙规则

进程隔离：容器内的网络操作不影响宿主机

安全屏障：防止网络攻击扩散

三、数据流向深度解析

3.1 外部访问容器（入站流量）

当外部客户端访问宿主机IP:8080时：

客户端 → 宿主机:8080 → iptables DNAT规则 → 172.17.0.2:80

详细流程：

客户端发送请求到宿主机的8080端口

iptables的PREROUTING链匹配到Docker规则

DNAT（目标地址转换）将目标IP:端口改为172.17.0.2:80

数据包通过docker0网桥转发到Nginx容器

容器处理请求，响应数据按反向路径返回

3.2 容器访问外网（出站流量）

当容器内的应用访问互联网时：

172.17.0.2 → docker0 → iptables MASQUERADE → 宿主机公网IP → 互联网

NAT转换原理：

源地址替换：将容器IP（172.17.0.2）替换为宿主机公网IP

连接跟踪：记录转换关系，确保响应能正确返回

端口复用：多个容器可以共享宿主机的外网连接

3.3 容器间通信（内部流量）

同一Bridge网络中的容器通信：

172.17.0.2 → docker0 → 172.17.0.3

关键点：

二层通信：直接通过MAC地址在docker0网桥内转发

无需NAT：保持原始IP地址不变

高效传输：减少了网络转换开销

四、端口映射机制详解

端口映射是Bridge模式最常用的功能：

# 三种端口映射方式
docker run -p 8080:80 nginx      # 宿主机8080映射到容器80
docker run -p 80 nginx           # 自动分配宿主机端口
docker run -p 192.168.1.100:8080:80 nginx  # 指定宿主机IP

4.1 iptables规则分析

当执行docker run -p 8080:80 nginx时，Docker会自动添加iptables规则：

# 查看NAT表规则
iptables -t nat -L -n

# 关键规则：
# PREROUTING链：将到达8080端口的流量转发到容器IP
# POSTROUTING链：容器出站时进行MASQUERADE
# DOCKER链：具体的端口映射规则

4.2 连接跟踪机制

为了确保双向通信正确，Linux内核维护了一个连接跟踪表：

# 查看活动连接
conntrack -L

# 连接跟踪记录示例：
# tcp  src=客户端IP dst=宿主机IP sport=随机 dport=8080
#      src=容器IP   dst=客户端IP sport=80   dport=随机

五、Bridge网络的优势与局限

5.1 优势

网络隔离：容器在独立的网络命名空间中

端口映射灵活：支持多种映射方式

容器间通信：同一Bridge网络内的容器可直接通信

外网访问：通过NAT实现容器访问互联网

兼容性好：支持大多数网络应用

5.2 局限性

性能开销：数据包需要经过网桥和iptables处理

IP地址限制：默认只有65,534个可用IP

单主机限制：默认Bridge网络只在单台主机内有效

配置复杂：需要理解网络原理才能排查问题

六、生产环境最佳实践

6.1 性能优化建议

调整网桥MTU：根据网络环境优化数据包大小

限制容器带宽：防止某个容器占用过多网络资源

优化iptables规则：按需配置，避免规则过多

6.2 安全配置

使用自定义网络：替代默认的docker0网络

配置网络策略：控制容器间通信权限

日志监控：记录关键网络事件

6.3 故障排查指南

检查网络连通性

# 从容器的角度
docker exec <容器名> ping 8.8.8.8
docker exec <容器名> curl http://外网地址

# 从宿主机的角度
telnet 宿主机IP 映射端口

查看网络配置

# 容器网络信息
docker inspect <容器名> | grep -A 10 Network

# iptables规则
iptables -t nat -L --line-numbers

# 网桥状态
brctl show

七、Bridge模式适用场景

7.1 推荐使用场景

Web应用部署：通过端口映射提供HTTP/HTTPS服务

开发测试环境：快速搭建多服务测试环境

微服务架构：服务间需要网络通信但不需要极致性能

数据库访问：通过端口映射提供数据库服务

7.2 不推荐使用场景

高性能网络应用：需要直接网络访问，考虑Host模式

跨主机容器通信：考虑Overlay网络或macvlan

特殊网络需求：如需要特定网络设备访问

总结

Bridge模式是Docker网络的基础，通过虚拟网桥、veth pair和iptables的巧妙组合，实现了容器的网络隔离与互联。理解其工作原理，不仅能帮助我们更好地使用Docker，还能在网络出现问题时快速定位和解决。

无论是简单的单容器部署，还是复杂的微服务架构，Bridge模式都能提供可靠、灵活的网络支持。掌握它，就掌握了Docker网络的核心。