2、Docker网络模式：bridge、host、none、overlay网络原理与适用场景

Docker 的网络模型是容器间通信与外部访问的基础。在生产环境中，选择错误的网络模式可能导致性能瓶颈、安全隔离失效或服务不可达。本章深入剖析四种核心网络模式（bridge、host、none、overlay）的工作原理、数据包走向及典型适用场景，帮助你在授权测试与数据传输优化中做出正确决策。

2.1 网络模式总览

Docker 通过 网络驱动（Network Driver） 实现容器网络栈的虚拟化。下表对比了四种内置模式的核心差异：

2.2 bridge 模式：默认单机隔离网络

bridge 是 Docker 默认的网络模式。每个容器通过 veth pair 连接到宿主机上的虚拟网桥 docker0，容器间可通过 IP 直接通信，但对外访问需经过 NAT 转换。

工作原理

• Docker 守护进程创建 docker0 网桥（默认 172.17.0.1/16）。
• 每个容器分配一个 veth 接口，一端在容器内（eth0），另一端挂载到 docker0。
• 容器内默认路由指向 docker0，出站流量通过 iptables MASQUERADE 规则进行 SNAT。
• 入站流量需通过 -p 端口映射，由 docker-proxy 或 iptables DNAT 转发。

2.3 host 模式：零损耗共享宿主机网络

host 模式下容器直接使用宿主机网络栈，不进行网络隔离。容器内的应用监听端口会直接绑定到宿主机 IP 上，性能损耗几乎为零，但安全性最低。

关键特性

• 容器不拥有独立网络命名空间，ip addr 看到的是宿主机网络接口。
• 端口冲突风险：两个容器不能监听同一端口。
• 无需端口映射，启动时 -p 参数被忽略。

2.4 none 模式：完全网络隔离

none 模式不为容器创建任何网络接口，容器只有 loopback 接口（127.0.0.1）。容器无法访问外部网络，外部也无法访问容器。

典型用途

• 离线计算任务： 批处理作业、数据加密/解密，不需要网络交互。
• 安全沙箱： 运行不受信任的二进制文件，防止数据外泄。
• 自定义网络栈： 用户可手动添加网络接口（如 macvlan、ipvlan），实现精细控制。

# 启动一个 none 模式容器
docker run --network none --rm alpine sh -c "ip addr"
# 输出仅包含 lo: <LOOPBACK,UP,LOWER_UP> 127.0.0.1/8

2.5 overlay 模式：跨主机容器网络

overlay 模式通过 VXLAN 隧道 技术，在多个 Docker 宿主机之间创建一个虚拟二层网络。容器可以像在同一个局域网内一样直接通信，无需端口映射。

工作原理

1. Docker Swarm 或 etcd/consul 维护集群节点信息。
2. 每个宿主机上创建 overlay 网络，分配独立子网（如 10.0.0.0/24）。
3. 容器流量通过 VXLAN 封装（UDP 4789），在宿主机之间传输。
4. 内置 DNS 解析：容器名自动解析为 overlay IP。

适用场景

• Docker Swarm 服务发现： 服务名自动解析，容器间通过 overlay IP 直连。
• 微服务跨主机通信： 无需配置复杂的端口映射和负载均衡。
• 授权测试中的多节点攻击模拟： 模拟跨数据中心的横向渗透路径。

2.6 网络模式选择决策树

在实际项目中，可根据以下条件快速选择网络模式：

1. 是否需要跨主机通信？
   • 是 → overlay 模式（或第三方插件如 Calico、Flannel）。
   • 否 → 进入下一步。
2. 是否需要网络隔离？
   • 是 → bridge 模式（默认）。
   • 否 → 进入下一步。
3. 性能是否最关键？
   • 是 → host 模式（如网络基准测试、实时数据采集）。
   • 否 → 考虑安全性，使用 bridge 模式。
4. 是否需要完全离线？
   • 是 → none 模式（安全沙箱、离线计算）。