本文目录导航：
解析Docker网络：从docker0网桥到veth pair接口
Docker网络的运作机制重要依赖于docker0虚构网桥和veth pair接口。
首先，当Docker启动时，它会在主机上创立一个名为docker0的Linux bridge，这个虚构网桥相当于一个交流机，担任在主机和容器、容器与容器之间转发数据包，成功网络通讯。
私有网络的调配是关键过程，Docker会智能选用一个未被占用的本地地址段，如172.17.42.1，经常使用255.255.0.0的掩码，确保一切启动的容器共享同一网络（如172.17.0.0/16），这有助于创立一个独立的虚构网络环境。
进一步，veth pair接口起到了衔接主机和容器的作用，主机经过这个接口与容器启动间接通讯，而容器间的通讯则是经过docker0网桥启动，构成一个虚构的、共享的网络空间。
每个容器都有一个独立的网络接口（eth0），它间接衔接到docker0网桥，独特构建起整个网络架构。
Docker 容器如何访问外部网络以及端口映射原理？
Docker容器理论能智能访问外部网络，这是由于其自动经常使用Bridge Network类型的网络，并应用iptables设置的SNAT规定成功。
当创立容器时，Docker会自动性能，未来自172.17.0.0/16网络的数据包源地址交流为主机的IP地址，准许容器访问互联网资源。
启动一个nginx容器并映射端口后，外部和外部网站访问都能反常启动。
经过命令sudo iptables -t nat -nL，可以看到POSTROUTING链中的SNAT规定，这是容器能访问外网的关键。
假设容器内访问外部网络出现疑问，审核ip_forward设置能否开启，或许docker daemon启动参数--ip-forward能否为true。
端口映射的原理重要在DOCKER链上性能DNAT，例如，iptables会将外部发往主机2024端口的数据包重定向到容器的172.17.0.2:80。
DNAT和SNAT区分解决指标地址和源地址的修正，DNAT在PREROUTING和OUTPUT链，而SNAT则在POSTROUTING和INPUT链上操作。
此外，经常使用docker port命令可以检查容器的端口映射，同时了解DNAT和SNAT的基本概念。
DNAT是目的地址转换，不修正协定，只在PREROUTING和OUTPUT链出现；SNAT则是源地址转换，或许触及网络地址伪装，理论在POSTROUTING和INPUT链上口头。
给Docker性能网络代理
在性能Docker网络代理时，须要针对不同的场景采取不同的战略。
首先，关于守护进程Dockerd，由于它由systemd治理，你须要修正systemd的文件。
在文件中增加代理主机地址（例如192.168.3.3:7890），而后重载systemd偏重启dockerd以使更改失效。
在容器运转阶段，假设你宿愿容器经过网络代理上网，可以在用户级性能文件~//中设置，这个方法实用于Docker 17.07及以上版本。
不只蕴含代理设置，还有其余共性化选项。
关于团体开发环境，是繁难的选用，由于它是智能失效的。
但在CI/CD构建或消费环境中，间接经过-e参数注入http_proxy等环境变量更为适合，以缩小对环境的依赖。
关于Docker build，只管它的口头形式相似容器，但用户级性能并不实用。
在构建时，须要间接在构建命令中参与http_proxy参数。
值得留意的是，除十分常使用--network host与本地代理衔接，否则经常使用localhost:3128这类代理或许有效。
理论状况下，须要设置代理的外部IP，并确保代理开启Gateway形式。
修正Docker build的代理设置后，下次口头构建会立刻失效。
参考文档包括Configure the daemon with systemd、Configure Docker to use a proxy server以及Use the Docker command line以失掉更具体的操作步骤和指点。
