使用 Overlay 網路進行網路連接

目錄

本系列教學課程介紹了叢集服務的網路設定。若要了解獨立容器的網路設定，請參閱獨立容器的網路設定。如果您需要了解更多關於 Docker 網路設定的整體資訊，請參閱概觀。

本頁包含以下教學課程。您可以在 Linux、Windows 或 Mac 上執行每個教學課程，但最後一個教學課程需要您在其他地方執行第二個 Docker 主機。

  • 使用預設重疊網路示範了當您初始化或加入叢集時，Docker 會自動為您設定的預設重疊網路的使用方式。此網路不是生產系統的最佳選擇。

  • 使用使用者定義重疊網路展示了如何建立和使用您自己的自訂重疊網路來連接服務。這建議用於在生產環境中執行的服務。

  • 為獨立容器使用重疊網路展示了如何使用重疊網路在不同 Docker 常駐程式上的獨立容器之間進行通訊。

先決條件

這些教學課程要求您至少有一個單節點叢集，這表示您已經啟動 Docker 並在主機上執行了 docker swarm init。您也可以在多節點叢集上執行這些範例。

使用預設重疊網路

在此範例中，您將啟動一個 alpine 服務，並從各個服務容器的角度檢查網路的特性。

本教學課程不會深入探討重疊網路的作業系統特定實作細節，而是專注於從服務的角度來看重疊網路的運作方式。

先決條件

本教學課程需要三個實體或虛擬 Docker 主機，它們彼此之間都能夠通訊。本教學課程假設這三個主機都在同一個網路上執行，且沒有涉及防火牆。

這些主機將分別稱為 manager、worker-1 和 worker-2。manager 主機將同時作為管理者和工作者，這表示它既可以執行服務任務，也可以管理叢集。worker-1 和 worker-2 將僅作為工作者。

如果您沒有三個現成的主機，一個簡單的解決方案是在雲端供應商（例如 Amazon EC2）上設定三個 Ubuntu 主機，所有主機都在同一個網路上，並且允許所有主機之間的所有通訊（使用諸如 EC2 安全群組的機制），然後遵循在 Ubuntu 上安裝 Docker Engine - Community 的說明。

逐步解說

建立叢集

在本程序結束時，所有三個 Docker 主機都將加入叢集，並使用名為 ingress 的重疊網路相互連接。

  1. 在 manager 上，初始化叢集。如果主機只有一個網路介面，則 --advertise-addr 旗標是可選的。

    $ docker swarm init --advertise-addr=<IP-ADDRESS-OF-MANAGER>

    請記下列印出的文字，因為其中包含您將用於將 worker-1 和 worker-2 加入叢集的令牌 (token)。建議將此令牌儲存在密碼管理器中。

  2. 在 worker-1 上，加入叢集。如果主機只有一個網路介面，則 --advertise-addr 旗標是可選的。

    $ docker swarm join --token <TOKEN> \
  --advertise-addr <IP-ADDRESS-OF-WORKER-1> \
  <IP-ADDRESS-OF-MANAGER>:2377

  3. 在 worker-2 上，加入叢集。如果主機只有一個網路介面，則 --advertise-addr 旗標是可選的。

    $ docker swarm join --token <TOKEN> \
  --advertise-addr <IP-ADDRESS-OF-WORKER-2> \
  <IP-ADDRESS-OF-MANAGER>:2377

  4. 在 manager 上，列出所有節點。此命令只能從管理者執行。

    $ docker node ls

ID                            HOSTNAME            STATUS              AVAILABILITY        MANAGER STATUS
d68ace5iraw6whp7llvgjpu48 *   ip-172-31-34-146    Ready               Active              Leader
nvp5rwavvb8lhdggo8fcf7plg     ip-172-31-35-151    Ready               Active
ouvx2l7qfcxisoyms8mtkgahw     ip-172-31-36-89     Ready               Active

    您也可以使用 --filter 旗標依角色進行篩選

    $ docker node ls --filter role=manager

ID                            HOSTNAME            STATUS              AVAILABILITY        MANAGER STATUS
d68ace5iraw6whp7llvgjpu48 *   ip-172-31-34-146    Ready               Active              Leader

$ docker node ls --filter role=worker

ID                            HOSTNAME            STATUS              AVAILABILITY        MANAGER STATUS
nvp5rwavvb8lhdggo8fcf7plg     ip-172-31-35-151    Ready               Active
ouvx2l7qfcxisoyms8mtkgahw     ip-172-31-36-89     Ready               Active

  5. 列出 manager、worker-1 和 worker-2 上的 Docker 網路，並注意每個主機現在都有一個名為 ingress 的重疊網路和一個名為 docker_gwbridge 的橋接網路。此處僅顯示 manager 的列表

    $ docker network ls

NETWORK ID          NAME                DRIVER              SCOPE
495c570066be        bridge              bridge              local
961c6cae9945        docker_gwbridge     bridge              local
ff35ceda3643        host                host                local
trtnl4tqnc3n        ingress             overlay             swarm
c8357deec9cb        none                null                local

docker_gwbridge 將 ingress 網路連接到 Docker 主機的網路介面，以便流量可以在叢集管理者和工作者之間流動。如果您建立叢集服務時未指定網路，它們將連接到 ingress 網路。建議為每個應用程式或協同運作的應用程式群組使用單獨的重疊網路。在下一個程序中，您將建立兩個重疊網路並將一個服務連接到每個網路。

建立服務

  1. 在 manager 上，建立一個名為 nginx-net 的新重疊網路

    $ docker network create -d overlay nginx-net

    您不需要在其他節點上建立重疊網路，因為當其中一個節點開始執行需要該網路的服務任務時，它將會自動建立。

  2. 在 manager 上，建立一個連接到 nginx-net 的 5 副本 Nginx 服務。該服務將會將連接埠 80 發佈到外部。所有服務任務容器都可以彼此通訊，無需開啟任何連接埠。

    注意

    服務只能在管理者上建立。

    $ docker service create \
  --name my-nginx \
  --publish target=80,published=80 \
  --replicas=5 \
  --network nginx-net \
  nginx

    當您未為 --publish 旗標指定 mode 時，使用的 ingress 預設發佈模式表示，如果您瀏覽 manager、worker-1 或 worker-2 上的連接埠 80，您將連接到 5 個服務任務中的其中一個的連接埠 80，即使您瀏覽的節點上目前沒有任務在執行。如果您想使用 host 模式發佈連接埠，您可以將 mode=host 加入到 --publish 輸出中。但是，在這種情況下，您也應該使用 --mode global 而不是 --replicas=5，因為在給定節點上只有一個服務任務可以綁定一個給定的連接埠。

  3. 執行 docker service ls 以監控服務啟動的進度，這可能需要幾秒鐘。

  4. 檢查 manager、worker-1 和 worker-2 上的 nginx-net 網路。請記住，您無需在 worker-1 和 worker-2 上手動建立它，因為 Docker 會為您自動建立。輸出將會很長，但請注意 Containers 和 Peers 部分。Containers 列出了從該主機連接到重疊網路的所有服務任務（或獨立容器）。

  5. 從 manager，使用 docker service inspect my-nginx 檢查服務，並注意服務使用的連接埠和端點資訊。

  6. 建立一個新網路 nginx-net-2，然後更新服務以使用此網路，而不是 nginx-net

    $ docker network create -d overlay nginx-net-2

    $ docker service update \
  --network-add nginx-net-2 \
  --network-rm nginx-net \
  my-nginx

  7. 執行 docker service ls 以驗證服務已更新且所有任務已重新部署。執行 docker network inspect nginx-net 以驗證沒有容器連接到它。對 nginx-net-2 執行相同的命令，並注意所有服務任務容器都已連接到它。

    注意

    儘管重疊網路會根據需要自動在叢集工作節點上建立，但它們不會自動移除。

  8. 清理服務和網路。從 manager，執行以下命令。管理者將指示工作者自動移除網路。

    $ docker service rm my-nginx
$ docker network rm nginx-net nginx-net-2

使用使用者定義重疊網路

先決條件

本教學課程假設叢集已經設定好，並且您位於管理者上。

逐步解說

  1. 建立使用者定義重疊網路。

    $ docker network create -d overlay my-overlay

  2. 啟動一個使用重疊網路的服務，並將連接埠 80 發佈到 Docker 主機上的連接埠 8080。

    $ docker service create \
  --name my-nginx \
  --network my-overlay \
  --replicas 1 \
  --publish published=8080,target=80 \
  nginx:latest

  3. 執行 docker network inspect my-overlay，並透過查看 Containers 部分來驗證 my-nginx 服務任務是否已連接到它。

  4. 移除服務和網路。

    $ docker service rm my-nginx

$ docker network rm my-overlay

為獨立容器使用重疊網路

此範例示範了 DNS 容器發現 — 特別是，如何使用重疊網路在不同 Docker 常駐程式上的獨立容器之間進行通訊。步驟如下：

  • 在 host1 上，將節點初始化為叢集（管理者）。
  • 在 host2 上，將節點加入叢集（工作者）。
  • 在 host1 上，建立一個可附加的重疊網路（test-net）。
  • 在 host1 上，在 test-net 上執行一個互動式 alpine 容器（alpine1）。
  • 在 host2 上，在 test-net 上執行一個互動式且分離的 alpine 容器（alpine2）。
  • 在 host1 上，從 alpine1 的會話中，ping alpine2。

先決條件

對於此測試，您需要兩個可以相互通訊的不同 Docker 主機。每個主機必須在兩個 Docker 主機之間開啟以下連接埠：

  • TCP 連接埠 2377
  • TCP 和 UDP 連接埠 7946
  • UDP 連接埠 4789

設定此環境的一個簡單方法是準備兩個虛擬機（本地或在 AWS 等雲端供應商上），每個虛擬機都安裝並執行 Docker。如果您使用 AWS 或類似的雲端運算平台，最簡單的配置是使用一個安全群組，該群組會開啟兩個主機之間所有傳入連接埠以及從您的用戶端 IP 位址到 SSH 的連接埠。

此範例將我們的叢集中的兩個節點稱為 host1 和 host2。此範例也使用 Linux 主機，但相同的命令在 Windows 上也適用。

逐步解說

  1. 設定叢集。

    a. 在 host1 上，初始化一個叢集（如果提示，請使用 --advertise-addr 來指定與叢集中其他主機通訊的介面 IP 位址，例如 AWS 上的私有 IP 位址）

    $ docker swarm init
Swarm initialized: current node (vz1mm9am11qcmo979tlrlox42) is now a manager.

To add a worker to this swarm, run the following command:

    docker swarm join --token SWMTKN-1-5g90q48weqrtqryq4kj6ow0e8xm9wmv9o6vgqc5j320ymybd5c-8ex8j0bc40s6hgvy5ui5gl4gy 172.31.47.252:2377

To add a manager to this swarm, run 'docker swarm join-token manager' and follow the instructions.

    b. 在 host2 上，依照上述說明加入叢集

    $ docker swarm join --token <your_token> <your_ip_address>:2377
This node joined a swarm as a worker.

    如果節點無法加入叢集，docker swarm join 命令將會逾時。若要解決此問題，請在 host2 上執行 docker swarm leave --force，驗證您的網路和防火牆設定，然後再試一次。

  2. 在 host1 上，建立一個名為 test-net 的可附加重疊網路

    $ docker network create --driver=overlay --attachable test-net
uqsof8phj3ak0rq9k86zta6ht

    請注意回傳的 NETWORK ID — 當您從 host2 連接到它時，您會再次看到它。

  3. 在 host1 上，啟動一個連接到 test-net 的互動式（-it）容器（alpine1）

    $ docker run -it --name alpine1 --network test-net alpine
/ #

  4. 在 host2 上，列出可用網路 — 請注意 test-net 尚未存在

    $ docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
ec299350b504        bridge              bridge              local
66e77d0d0e9a        docker_gwbridge     bridge              local
9f6ae26ccb82        host                host                local
omvdxqrda80z        ingress             overlay             swarm
b65c952a4b2b        none                null                local

  5. 在 host2 上，啟動一個連接到 test-net 的分離式（-d）和互動式（-it）容器（alpine2）

    $ docker run -dit --name alpine2 --network test-net alpine
fb635f5ece59563e7b8b99556f816d24e6949a5f6a5b1fbd92ca244db17a4342
    注意

    自動 DNS 容器發現僅適用於唯一的容器名稱。

  6. 在 host2 上，驗證 test-net 是否已建立（並具有與 host1 上 test-net 相同的 NETWORK ID）

    $ docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
...
uqsof8phj3ak        test-net            overlay             swarm

  7. 在 host1 上，在 alpine1 的互動式終端機中 ping alpine2

    / # ping -c 2 alpine2
PING alpine2 (10.0.0.5): 56 data bytes
64 bytes from 10.0.0.5: seq=0 ttl=64 time=0.600 ms
64 bytes from 10.0.0.5: seq=1 ttl=64 time=0.555 ms

--- alpine2 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.555/0.577/0.600 ms

    這兩個容器透過連接兩個主機的重疊網路進行通訊。如果您在 host2 上執行另一個 未分離 的 alpine 容器，您可以從 host2 ping alpine1（我們在此處新增了移除選項以進行自動容器清理）

    $ docker run -it --rm --name alpine3 --network test-net alpine
/ # ping -c 2 alpine1
/ # exit

  8. 在 host1 上，關閉 alpine1 會話（這也會停止容器）

    / # exit

  9. 清理您的容器和網路

    您必須在每個主機上獨立停止並移除容器，因為 Docker 常駐程式獨立運作，且這些是獨立容器。您只需在 host1 上移除網路，因為當您在 host2 上停止 alpine2 時，test-net 將會消失。

    a. 在 host2 上，停止 alpine2，檢查 test-net 是否已移除，然後移除 alpine2

    $ docker container stop alpine2
$ docker network ls
$ docker container rm alpine2

    a. 在 host1 上，移除 alpine1 和 test-net

    $ docker container rm alpine1
$ docker network rm test-net

其他網路設定教學課程

© . This site is unofficial and not affiliated with Kubernetes or Docker Inc.