本文目录导航：
Docker网络代理和仓库镜像减速
Docker在经常使用官网和非官网镜像仓库时，遇到网络限度会面临重大困扰。
关于官网镜像仓库，没有镜像减速将造成操作艰巨；而关于被墙的非官网仓库，没有网络代理也会举步维艰。
镜像仓库减速器（Registry Mirrors）充任国际官网Registry的镜像源，Docker Daemon首先尝试从这些镜像源失掉，未果时再求助于官网Registry。
但是，间接设置Docker的网络代理并非最佳选用，尤其是当代理和Docker运转环境不分歧时，不稳固衔接或许造成疑问频发，反而参与困扰。
介绍优先经常使用Registry Mirrors，如阿里云、七牛、DaoCloud的镜像减速服务。
它们在镜像拉取时更为高效。
性能Docker镜像减速器的步骤包含在`/etc/docker/`中参与相应设置，而后重启Docker Daemon。
关于Mac用户，可以设置http和https代理监听特定端口，如7890和7891。
设置Docker Daemon代理是不介绍的，由于须要保障非本机能够稳固访问并转发数据，防止端口拒绝或TLS握手失败等疑问。
容器内的代理设置理论较为少见，除非在构建镜像时经过`--build-arg`传递Http和Https环境变量，但这在实践运转中并不经常出现。
总的来说，关于Docker网络代理和仓库镜像减速，介绍经常使用镜像仓库减速器，尽量防止在Docker Daemon层面设置网络代理，除非必要且确保代感性能的稳固性和有效性。
解析Docker网络：从docker0网桥到veth pair接口
Docker网络的运作机制重要依赖于docker0虚构网桥和veth pair接口。
首先，当Docker启动时，它会在服务器上创立一个名为docker0的Linux bridge，这个虚构网桥相当于一个交流机，担任在服务器和容器、容器与容器之间转发数据包，成功网络通讯。
私有网络的调配是关键过程，Docker会智能选用一个未被占用的本地地址段，如172.17.42.1，经常使用255.255.0.0的掩码，确保一切启动的容器共享同一网络（如172.17.0.0/16），这有助于创立一个独立的虚构网络环境。
进一步，veth pair接口起到了衔接服务器和容器的作用，服务器经过这个接口与容器启动间接通讯，而容器间的通讯则是经过docker0网桥启动，构成一个虚构的、共享的网络空间。
每个容器都有一个独立的网络接口（eth0），它间接衔接到docker0网桥，独特构建起整个网络架构。
Docker 容器如何访问外部网络以及端口映射原理？
Docker容器理论能智能访问外部网络，这是由于其自动经常使用Bridge Network类型的网络，并应用iptables设置的SNAT规定成功。
当创立容器时，Docker会自动性能，未来自172.17.0.0/16网络的数据包源地址交流为服务器的IP地址，准许容器访问互联网资源。
启动一个nginx容器并映射端口后，外部和外部网站访问都能反常启动。
经过命令sudo iptables -t nat -nL，可以看到POSTROUTING链中的SNAT规定，这是容器能访问外网的关键。
假设容器内访问外部网络出现疑问，审核ip_forward设置能否开启，或许docker daemon启动参数--ip-forward能否为true。
端口映射的原理重要在DOCKER链上性能DNAT，例如，iptables会将外部发往服务器2024端口的数据包重定向到容器的172.17.0.2:80。
DNAT和SNAT区分解决指标地址和源地址的修正，DNAT在PREROUTING和OUTPUT链，而SNAT则在POSTROUTING和INPUT链上操作。
此外，经常使用docker port命令可以检查容器的端口映射，同时了解DNAT和SNAT的基本概念。
DNAT是目的地址转换，不修正协定，只在PREROUTING和OUTPUT链出现；SNAT则是源地址转换，或许触及网络地址伪装，理论在POSTROUTING和INPUT链上口头。
