3. Bridge网络深度解析：默认桥接网络原理、端口映射机制、容器间通信

Bridge网络是Docker默认的网络驱动，也是单机容器通信的基础。理解其底层原理、端口映射机制以及容器间通信方式，是排查网络故障的核心前提。本章将深入剖析Docker默认桥接网络的工作模型。

3.1 默认桥接网络原理

Docker守护进程启动时，会在宿主机上创建一个名为docker0的虚拟网桥。所有未指定网络的容器，默认都会连接到这个docker0网桥上。其核心架构如下：

3.2 端口映射机制

默认情况下，容器可以访问外部网络，但外部网络无法直接访问容器。端口映射机制通过-p或--publish参数，将宿主机端口流量转发到容器端口，实现外部访问。

端口映射的底层实现依赖iptables的DNAT规则。当外部请求到达宿主机映射端口时，iptables将目标地址和端口改写为容器IP和端口，然后通过docker0网桥转发给容器。

3.3 容器间通信

在默认桥接网络下，容器间通信主要通过两种方式：IP地址通信和--link机制（已废弃，推荐使用自定义网络）。

3.3.1 通过IP地址通信

连接到同一docker0网桥的容器，可以直接使用对方的IP地址进行通信。Docker内置的DNS服务默认不解析容器名称，因此无法通过容器名直接访问。

# 启动两个容器
docker run -d --name web1 nginx
docker run -d --name web2 nginx

# 进入 web2 容器，ping web1 的 IP
docker exec -it web2 sh
/ # ping 172.17.0.2
PING 172.17.0.2 (172.17.0.2): 56 data bytes
64 bytes from 172.17.0.2: seq=0 ttl=64 time=0.123 ms

3.3.2 通过容器名通信（自定义网络）

使用自定义Bridge网络时，Docker内置的DNS服务会自动解析容器名称，实现容器名通信，这是推荐的生产实践。

# 创建自定义桥接网络
docker network create my-bridge

# 启动容器并连接到自定义网络
docker run -d --name app1 --network my-bridge nginx
docker run -d --name app2 --network my-bridge nginx

# 进入 app2，通过容器名访问 app1
docker exec -it app2 sh
/ # ping app1
PING app1 (172.18.0.2): 56 data bytes
64 bytes from 172.18.0.2: seq=0 ttl=64 time=0.089 ms

3.4 常见故障与排查