【云原生】Docker网络模式和Cgroup资源限制

目录

一、Docker 网络实现原理

二、Docker 的网络模式

#网络模式详解：

第一种：host模式

第二种：bridge模式

第三种：container模式

第四种：none模式

第五种：自定义网络

三、Cgroup资源控制

 第一种：CPU 资源控制

（1）设置CPU使用率上限

一、Docker 网络实现原理

Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的 Container-IP 直接通信。

Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法直接通过 Container-IP 访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即 docker run 创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

#查看容器的输出和日志信息

docker logs 容器的ID/名称 

查看的是容器中pid=1的主进程的日志

二、Docker 的网络模式

有四种基础网络模式+自定义网络

  • Host：容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。
  • Container：创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围。
  • None：该模式关闭了容器的网络功能。
  • Bridge：默认为该模式，此模式会为每一个容器分配、设置IP等，并将容器连接到一个docker0虚拟网桥，通过docker0网桥以及iptables nat 表配置与宿主机通信。
  • 自定义网络

#使用docker run创建Docker容器时，可以用 --net 或 --network 选项指定容器的网络模式
●host模式：使用 --net=host 指定。
●none模式：使用 --net=none 指定。
●container模式：使用 --net=container:NAME_or_ID 指定。
●bridge模式：使用 --net=bridge 指定，默认设置，可省略。

安装Docker时，它会自动创建三个网络，

bridge（创建容器默认连接到此网络）、 none 、host

docker network ls
docker network list
##查看docker网络列表

#网络模式详解：

第一种：host模式

相当于Vmware中的桥接模式，与宿主机在同一个网络中，但没有独立IP地址。
Docker使用了Linux的Namespaces技术来进行资源隔离，如PID Namespace隔离进程，Mount Namespace隔离文件系统，Network Namespace隔离网络等。
一个Network Namespace提供了一份独立的网络环境，包括网卡、路由、iptable规则等都与其他的Network Namespace隔离。 一个Docker容器一般会分配一个独立的Network Namespace。 但如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace， 而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡、配置自己的IP等，而是使用宿主机的IP和端口。

总结：容器与宿主机共享网络命名空间，即容器和宿主机使用同一个IP、端口范围（容器与宿主机或其它使用host模式的容器不能用同一个端口）、路由、iptables规则等网络资源。

[root@localhost data]#docker inspect b1 |grep host
            "NetworkMode": "host",
[root@localhost data]#docker inspect b1 |grep -i network
            "NetworkMode": "host",

[root@localhost data]#docker exec -it b1 sh
/ # ifconfig 

/ # ping 192.168.20.6

 

第二种：bridge模式

bridge模式是docker的默认网络模式，不用--net参数，就是bridge模式。

相当于Vmware中的 nat 模式，容器使用独立network Namespace，并连接到docker0虚拟网卡。通过docker0网桥以及iptables nat表配置与宿主机通信，此模式会为每一个容器分配Network Namespace、设置IP等，并将一个主机上的 Docker 容器连接到一个虚拟网桥上。    

（1）当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

（2）从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建一对虚拟网卡veth pair设备。 veth设备总是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另一个设备出来。因此，veth设备常用来连接两个网络设备。

（3）Docker将 veth pair 设备的一端放在新创建的容器中，并命名为 eth0（容器的网卡），另一端放在主机中， 以 veth* 这样类似的名字命名， 并将这个网络设备加入到 docker0 网桥中。可以通过 brctl show 命令查看。

（4）使用 docker run -p 时，docker实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL 查看。

[root@localhost data]#docker run -d --name d2 -p 3344:80 --net=bridge nginx:test01		
#--name 选项可以给容器创建一个自定义名称

[root@localhost data]#docker inspect d2|grep -i network

[root@localhost data]#docker inspect d2|grep -i ipaddress


[root@localhost data]#ifconfig docker
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255
        inet6 fe80::42:55ff:fe03:9d7a  prefixlen 64  scopeid 0x20<link>
        ether 02:42:55:03:9d:7a  txqueuelen 0  (Ethernet)
        RX packets 248  bytes 21320 (20.8 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 340  bytes 25341 (24.7 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

[root@localhost data]#iptables -t nat -vnL


[root@localhost data]#docker exec -it d1 sh
/ # ifconfig 
/ # ping 172.17.0.3

 总结：该模式是默认的docker网络模式，每个容器拥有自己独立的网络命名空间。意味着每一个容器有自己独立的ip和端口范围以及路由器和iptables规则；

容器连接到docker0的虚拟网桥，通过docker0网桥以及iptables nat表配置（端口映射）与宿主机之间进行通信。

同时容器之间也可以通信

第三种：container模式

这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace，而不是和宿主机共享。 新创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过lo网卡设备通信。

[root@localhost data]#docker run -id --name test1 --net=container:d2 centos:7 /bin/bash

[root@localhost data]#docker ps -a

[root@localhost data]#docker run -id --name test2 --net=container:d2 nginx:test01

新创建的容器和已经存在的一个容器共享一个Network Namespace

 验证：

实际上这6个文件也对应了6大命名空间

[root@localhost data]#docker inspect -f {{.State.Pid}} test1
#查看容器进程号

[root@localhost data]#ll /proc/17491/ns/ 
#查看容器的进程、网络、文件系统等命名空间编号

第四种：none模式

使用none模式，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。 也就是说，这个Docker容器没有网卡、IP、路由等信息。这种网络模式下容器只有lo回环网络，没有其他网卡。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

[root@localhost data]#docker run -d --name c2 --net=none nginx:test01

[root@localhost data]#docker exec -it c2 sh
/ # ifconfig

第五种：自定义网络

#直接使用bridge模式，是无法支持指定IP运行docker的，例如执行以下命令就会报错
[root@localhost data]#docker run -itd --name a1 --network bridge --ip 172.17.0.10 centos:7 /bin/bash

//创建自定义网络
#可以先自定义网络，再使用指定IP运行docker
docker network create --subnet=172.18.0.0/16 --opt "com.docker.network.bridge.name"="docker1"  mynetwork
----------------------------------------------------------------------------------------------------------
#docker1 为执行 ifconfig -a 命令时，显示的网卡名，如果不使用 --opt 参数指定此名称，那你在使用 ifconfig -a 命令查看网络信息时，看到的是类似 br-110eb56a0b22 这样的名字，这显然不怎么好记。
#mynetwork 为执行 docker network list 命令时，显示的bridge网络模式名称。
----------------------------------------------------------------------------------------------------------
[root@localhost data]#docker run -itd --name n2 --net=mynetwork --ip 172.18.0.100 nginx:test01

三、Cgroup资源控制

Docker 通过 Cgroup 来控制容器使用的资源配额，包括 CPU、内存、磁盘三大方面， 基本覆盖了常见的资源配额和使用量控制。
Cgroup 是 ControlGroups 的缩写，是 Linux 内核提供的一种可以限制、记录、隔离进程组所使用的物理资源(如 CPU、内存、磁盘 IO 等等) 的机制，被 LXC、docker 等很多项目用于实现进程资源控制。Cgroup 本身是提供将进程进行分组化管理的功能和接口的基础结构，I/O 或内存的分配控制等具体的资源管理是通过该功能来实现的。

 第一种：CPU 资源控制

（1）设置CPU使用率上限

Linux通过CFS（Completely Fair Scheduler，完全公平调度器）来调度各个进程对CPU的使用。CFS默认的调度周期是100ms。
我们可以设置每个容器进程的调度周期，以及在这个周期内各个容器最多能使用多少 CPU 时间。

使用 --cpu-period 即可设置调度周期，使用 --cpu-quota 即可设置在每个周期内容器能使用的CPU时间。两者可以配合使用。
CFS 周期的有效范围是 1ms~1s，对应的 --cpu-period 的数值范围是 1000~1000000。
而容器的 CPU 配额必须不小于 1ms，即 --cpu-quota 的值必须 >= 1000。

先下载好压测工具

 做单个容器cpu使用率限制

...........................................................后续再补充....................................................

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/348453.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

中断与事件区别

中断与事件区别

自记&#xff1a; 以外部中断举例&#xff1a; 这张图是一条外部中断线或外部事件线的示意图, 图中信号线上划有一条斜线,旁边标志19字样的注释,表示这样的线路共有19套. 图中的蓝色虚线箭头,标出了外部中断信号的传输路径,首先外部信号从编号1的芯片管脚进入,经过编号2的边…
阅读更多...
Java实现校园疫情防控管理系统 JAVA+Vue+SpringBoot+MySQL

Java实现校园疫情防控管理系统 JAVA+Vue+SpringBoot+MySQL

目录 一、摘要1.1 项目介绍1.2 项目录屏 二、功能模块2.1 学生2.2 老师2.3 学校管理部门 三、系统展示四、核心代码4.1 新增健康情况上报4.2 查询健康咨询4.3 新增离返校申请4.4 查询防疫物资4.5 查询防控宣传数据 五、免责说明 一、摘要 1.1 项目介绍 基于JAVAVueSpringBoot…
阅读更多...
php实现多进程的几种方式

php实现多进程的几种方式

目录 一&#xff1a;使用pcntl扩展库 二&#xff1a;使用Swoole扩展 三&#xff1a;使用多进程模式PHP-FPM 在PHP中实现多进程主要有以下几种方式&#xff1a; 一&#xff1a;使用pcntl扩展库 pcntl扩展库提供了多线程相关的函数&#xff0c;如pcntl_fork()用于创建子进程…
阅读更多...
vue常用指令(v-show)

vue常用指令(v-show)

一、v-show 指令 作用: 根据真假值,切换元素的显示状态 二、代码演示 1、v-show 绑定判断条件后&#xff0c;根据布尔值决定是否显示图片 不显示图片 代码 <!DOCTYPE html> <html lang"en"><head><meta charset"UTF-8" /><…
阅读更多...
pve8.1 安装、创建centos7虚拟机及配置

pve8.1 安装、创建centos7虚拟机及配置

之前创建虚拟机centos7时&#xff0c;硬盘分配太大了&#xff0c;做成模板后无法进行修改了&#xff0c;安装完pve8.1后&#xff0c;强迫症犯了重新创建一下顺便记录一下配置过程。由于目前centos7还是生产用的比较多的版本所以本次还是安装centos7.9版本。 一、下载镜像 下载…
阅读更多...
mysql 多版本并发控制mvcc

mysql 多版本并发控制mvcc

行级锁的一个变种避免了加锁&#xff0c;开销低非阻塞读操作&#xff0c;写操作是行级原理&#xff1a;使用数据在某个时间点的快照实现&#xff0c;不同事务在同一个时间可以看到同一个表中的不同数据。分类&#xff1a;乐观&#xff0c;悲观在一行中存储更多数据&#xff0c;…
阅读更多...
VR数字展厅，平面静态跨越到3D立体化时代

VR数字展厅，平面静态跨越到3D立体化时代

近些年&#xff0c;VR的概念被越来越多的人提起&#xff0c;较为常见的形式就是VR数字展厅。VR数字展厅的出现&#xff0c;让各地以及各行业的展厅展馆的呈现和宣传都发生了很大的改变和革新&#xff0c;同时也意味着展览传播的方式不再局限于原来的图文、视频&#xff0c;而是…
阅读更多...
统计学-R语言-7.4

统计学-R语言-7.4

文章目录 前言非参数检验两个独立样本的Mann-Whitney检验 练习 前言 本片是对非参数检验最后的介绍。 非参数检验 两个独立样本的Mann-Whitney检验 Mann -Whitney检验也称为Mann- Whitney U检验&#xff08;Mann-Whitney U test&#xff09;或称为 Wilcoxon秩和检验&#xf…
阅读更多...
C++ Qt day2

C++ Qt day2

自己封装一个矩形类(Rect)&#xff0c;拥有私有属性:宽度(width)、高度(height)&#xff0c; 定义公有成员函数: 初始化函数:void init(int w, int h) 更改宽度的函数:set_w(int w) 更改高度的函数:set_h(int h) 输出该矩形的周长和面积函数:void show() #include <io…
阅读更多...
UDP 的报文结构和注意事项

UDP 的报文结构和注意事项

1. UDP的特点 1.无连接 就像发短信给对方&#xff0c;只需要对方的端口和IP地址。不需要连接。 2.不可靠传输 没有任何安全机制&#xff0c;发送端发送数据报以后&#xff0c;如果因为⽹络故障该段⽆法发到对⽅&#xff0c;UDP协议层也不会给应⽤层返回任何错误信息。 3.面向…
阅读更多...
Java PDFBox 提取页数、PDF转图片

Java PDFBox 提取页数、PDF转图片

PDF 提取 使用Apache 的pdfbox组件对PDF文件解析读取和转图片。 Maven 依赖 导入下面的maven依赖&#xff1a; <dependency><groupId>org.apache.pdfbox</groupId><artifactId>pdfbox</artifactId><version>2.0.30</version> &l…
阅读更多...
import tensorflow.contrib.slim as slim中contrib报红，显示没有导入contrib

import tensorflow.contrib.slim as slim中contrib报红，显示没有导入contrib

本人环境&#xff1a; python 3.6 tensorflow 1.13 问题如下图&#xff1a; 解决方法&#xff1a; 找到包的位置&#xff0c;查看tensorflow中是否下载了contrib包&#xff0c;如果有的话&#xff0c;建议重新装一次TensorFlow 如果没有找找&#xff0c;可以在搜索栏搜一下…
阅读更多...
什么是5G RedCap？5G RedCap有什么优势？

什么是5G RedCap？5G RedCap有什么优势？

5G RedCap&#xff08;Reduced Capability&#xff09;是指5G轻量化技术&#xff0c;即通过对5G技术进行一定程度的“功能裁剪”&#xff0c;来降低终端和模组的复杂度、成本、尺寸和功耗等指标&#xff0c;从而“量体裁衣”适配不同的物联需求&#xff0c;实现兼顾物联网系统的…
阅读更多...
自锁设计更稳固，同为科技（TOWE）服务器电脑IEC 60320电源线

自锁设计更稳固，同为科技（TOWE）服务器电脑IEC 60320电源线

说起IEC 60320标准电源线&#xff0c;可能很多人不知道具体是什么东西&#xff0c;但要说到台式电脑电源线&#xff0c;那大家就都能耳熟能详了。IEC 60320电源线的用途十分广泛&#xff0c;包括家用电器、医疗设备、数据中心服务器、商业机械设备、自动化生产线等都是用此类电…
阅读更多...
【iOS ARKit】人脸追踪之挂载虚拟元素

【iOS ARKit】人脸追踪之挂载虚拟元素

人脸跟踪&#xff08;Face Tracking&#xff09;是指将人脸检测扩展到视频序列&#xff0c;跟踪同一张人脸在视频序列中的位置。是论上讲&#xff0c;任何出现在视频中的人险都可以被跟踪&#xff0c;也即是说&#xff0c;在连续视频帧中检测到的人脸可以被识别为同一个人。人脸…
阅读更多...
c++ 4种类型转换

c++ 4种类型转换

1. 常量转换(const_cast)。》方便赋值 常量转换用于去掉表达式的const属性&#xff0c;使其变成非常量表达式&#xff0c;方便赋值。常量转换不能改变表达式的类型&#xff0c;只能改变const属性。示例代码&#xff1a; const int a 10; int b const_cast<int&>…
阅读更多...
如何在云服务上通过docker部署服务？

如何在云服务上通过docker部署服务？

如何在云服务上通过docker部署服务&#xff1f; 一、在云服务器上安装Docker1、查看云服务器的OS信息2、[安装Docker并使用&#xff08;Linux&#xff09;](https://help.aliyun.com/zh/ecs/use-cases/deploy-and-use-docker-on-alibaba-cloud-linux-2-instances) 二、通过dock…
阅读更多...
基于 Docker 搭建 Uptime-Kuma 一个极简风的应用监控

基于 Docker 搭建 Uptime-Kuma 一个极简风的应用监控

GitHub&#xff1a;https://github.com/louislam/uptime-kuma 一、uptime-kuma 介绍 Demo&#xff1a;https://uptime.wuhanjiayou.cn/ uptime-kuma 是一款开源的监控工具, 支持 TCP / PING / HTTP 等多种监控方式&#xff0c;可监测网站&#xff0c;数据库&#xff0c;Docker…
阅读更多...
nvm安装node 后npm不是内部或外部命令,也不是可运行的程序的处理方法

nvm安装node 后npm不是内部或外部命令,也不是可运行的程序的处理方法

安装了两个node版本 v10.15.3代表10.15.3版本&#xff0c;打开后 v12.16.2代表node版本12.16.2,打开后 我现在使用10.15.3版本的node&#xff0c;npm可以使用&#xff0c;而当使用12.16.2版本时则不能使用 需要把文件npm, npm.cmd和node_modules三个文件拷贝到v12.16.2文件的…
阅读更多...
从Elasticsearch来看分布式系统架构设计

从Elasticsearch来看分布式系统架构设计

从Elasticsearch来看分布式系统架构设计 - 知乎 分布式系统类型多&#xff0c;涉及面非常广&#xff0c;不同类型的系统有不同的特点&#xff0c;批量计算和实时计算就差别非常大。这篇文章中&#xff0c;重点会讨论下分布式数据系统的设计&#xff0c;比如分布式存储系统&…
阅读更多...
最新文章

Copyright @ 2022~2023