3. Docker 网络模式：Bridge、Host、Overlay 网络原理与跨主机容器通信基础
在部署消息队列集群时，网络是决定节点间能否正常通信、数据能否可靠复制的核心基础设施。Docker 提供了多种网络模式，每种模式在隔离性、性能、跨主机支持上各有取舍。本章将深入剖析 Bridge、Host、Overlay 三种模式的原理，并建立跨主机容器通信的知识基础，为后续部署 RabbitMQ / Kafka 集群铺平道路。
3.1 Docker 网络模式总览
Docker 默认提供以下网络驱动，其中 Bridge、Host、Overlay 是生产环境中最常用的三种：
| 网络模式 | 驱动类型 | 隔离性 | 跨主机支持 | 典型场景 |
|---|---|---|---|---|
| Bridge | bridge | 容器间隔离，通过虚拟网桥互通 | 否（默认单机） | 单机多容器通信，如单节点消息队列 |
| Host | host | 无隔离，直接使用宿主机网络栈 | 否（依赖宿主机 IP） | 追求极致性能，如高吞吐日志采集 |
| Overlay | overlay | 容器间隔离，跨主机虚拟二层网络 | 是（Swarm / K8s 集群） | 跨主机消息队列集群、分布式存储 |
| Macvlan | macvlan | 容器拥有独立 MAC 地址 | 是（需物理网络支持） | 遗留应用直接暴露于物理网络 |
| None | null | 完全隔离，无网络接口 | — | 离线计算、安全沙箱 |
选型建议： 对于消息队列集群，Overlay 是跨主机部署的首选方案；单机测试或开发环境使用 Bridge；仅在需要极致网络性能且不关心端口冲突时考虑 Host 模式。
3.2 Bridge 网络模式
Bridge 是 Docker 默认的网络模式。当 Docker 守护进程启动时，会在宿主机上创建一个名为 docker0 的虚拟网桥。每个容器启动时，Docker 会创建一对 veth 虚拟网卡：一端连接到容器的 eth0，另一端连接到 docker0 网桥。容器之间通过 docker0 进行二层转发，实现互通。
3.2.1 核心原理
- NAT 转换： 容器访问外部网络时，宿主机通过 iptables 做源地址转换（SNAT），将容器 IP 映射为宿主机 IP。
- 端口映射： 使用
-p参数将宿主机端口映射到容器端口，外部流量通过 DNAT 进入容器。 - DNS 解析： 同一用户自定义 Bridge 网络中的容器，可通过容器名直接通信（内置 DNS 解析）。
3.2.2 通信流程
- 容器 A（172.17.0.2）向容器 B（172.17.0.3）发送数据包。
- 数据包通过容器 A 的 veth 到达
docker0网桥。 - 网桥根据 MAC 地址表，将数据包转发到容器 B 的 veth 接口。
- 容器 B 的
eth0接收数据包，完成通信。
关键限制： 默认 Bridge 网络不支持跨主机通信。容器 IP 在宿主机内部有效，不同宿主机上的容器无法直接通过 IP 互通。
3.3 Host 网络模式
Host 模式下的容器直接共享宿主机的网络命名空间，容器内的 eth0 即宿主机的物理网卡。容器无需端口映射，所有端口直接暴露在宿主机 IP 上。
3.3.1 核心特点
- 零网络损耗： 数据包无需经过虚拟网桥和 NAT，性能接近原生。
- 端口冲突风险： 同一宿主机上多个 Host 模式容器不能绑定相同端口。
- 无独立 IP： 容器使用宿主机 IP，无法为容器单独分配 IP 地址。
3.3.2 适用场景
- 需要监控宿主机网络指标的应用（如 Prometheus Node Exporter）。
- 对网络延迟极度敏感的消息队列生产者/消费者（如高频交易场景）。
- 单机部署多个不同端口的服务，避免端口映射开销。
注意： 在消息队列集群中，Host 模式会破坏容器 IP 的确定性，导致集群节点发现困难。除非你使用
--network host 并配合静态端口规划，否则不推荐用于多节点集群。
3.4 Overlay 网络模式
Overlay 网络是 Docker Swarm 模式下的原生跨主机网络方案。它通过 VXLAN 隧道技术，在现有三层网络之上构建一个虚拟的二层网络，使得分布在不同宿主机上的容器可以像在同一个局域网内一样直接通信。
3.4.1 核心组件
| 组件 | 作用 | 说明 |
|---|---|---|
| VXLAN | 封装二层帧到 UDP 包中 | 标准隧道协议，支持 1600 万+ 逻辑网络 |
| VTEP | VXLAN 隧道端点 | 每个宿主机上运行一个 VTEP，负责封装/解封装 |
| 分布式 KV 存储 | 同步网络状态 | Docker Swarm 内置的 etcd 存储网络元数据 |
| 内置 DNS | 服务发现 | 容器名解析为 Overlay 网络 IP |
3.4.2 跨主机通信流程
- 容器 A（10.0.0.2）在宿主机 1 上向容器 B（10.0.0.3）在宿主机 2 上发送数据包。
- 宿主机 1 的 VTEP 将原始二层帧封装为 VXLAN 数据包（UDP 端口 4789）。
- 封装后的数据包通过宿主机 1 的物理网卡发送到宿主机 2。
- 宿主机 2 的 VTEP 解封装 VXLAN 数据包，还原原始二层帧。
- 容器 B 的
eth0接收数据包，通信完成。
3.5 跨主机容器通信基础
实现跨主机容器通信，除了 Overlay 网络外，还有以下几种常见方案：
| 方案 | 原理 | 优点 | 缺点 |
|---|---|---|---|
| Overlay（VXLAN） | 二层帧封装到 UDP 隧道 | 原生支持、无需修改物理网络 | 封装开销增加延迟约 5-10% |
| Macvlan | 容器直接使用物理网络 MAC | 性能接近裸机、无封装 | 需物理交换机支持、MAC 地址耗尽风险 |
| 路由方案 | 宿主机配置静态路由指向容器网段 | 性能高、无额外封装 | 运维复杂、需网络团队配合 |
| Flannel / Calico | 第三方 CNI 插件 | 功能丰富、策略灵活 | 引入额外组件、学习成本 |
3.6 消息队列集群的网络选型建议
生产环境推荐： 使用 Docker Swarm 或 Kubernetes 内置的 Overlay 网络。它提供了跨主机容器 IP 可达性、内置 DNS 服务发现，且无需修改底层物理网络。对于 RabbitMQ 集群的节点发现、Kafka 的 broker 间复制，Overlay 网络是最平衡的选择。