19. 容器间通信1. 容器间通信概述容器间通信是 Docker 编排的核心理解容器如何相互通信对于构建微服务架构至关重要。Docker 提供了多种容器间通信方式每种方式适用于不同场景。┌─────────────────────────────────────────────────────────────┐ │ 容器间通信方式 │ ├─────────────────────────────────────────────────────────────┤ │ │ │ 方式1自定义网络推荐 │ │ ┌─────────────────────────────────────────────────────┐ │ │ │ 容器A ──▶ 容器名解析 ──▶ 容器B │ │ │ └─────────────────────────────────────────────────────┘ │ │ │ │ 方式2端口映射 │ │ ┌─────────────────────────────────────────────────────┐ │ │ │ 容器 ──▶ 宿主机端口 ──▶ 外部请求 │ │ │ └─────────────────────────────────────────────────────┘ │ │ │ │ 方式3容器网络共享 │ │ ┌─────────────────────────────────────────────────────┐ │ │ │ 容器B (共享A的网络) ──▶ localhost ──▶ 容器A │ │ │ └─────────────────────────────────────────────────────┘ │ │ │ │ 方式4跨主机通信 │ │ ┌─────────────────────────────────────────────────────┐ │ │ │ 主机A容器 ──▶ Overlay ──▶ 主机B容器 │ │ │ └─────────────────────────────────────────────────────┘ │ │ │ └─────────────────────────────────────────────────────────────┘2. 自定义网络通信2.1 同一网络通信# 创建自定义网络dockernetwork create app-net# 在同一网络中运行容器dockerrun-d--nameweb--networkapp-net nginxdockerrun-d--nameapi--networkapp-net myapidockerrun-d--namedb--networkapp-net mysql# 通过容器名通信自动 DNS 解析dockerexecwebpingapidockerexecwebpingdb# 测试 HTTP 通信dockerexecapicurlhttp://web:80dockerexecapicurlhttp://db:3306# 查看 DNS 解析dockerexecwebcat/etc/resolv.confdockerexecwebnslookupapi2.2 网络别名通信# 创建网络dockernetwork create app-net# 为容器设置多个别名dockerrun-d--namedb\--networkapp-net\--network-alias mysql\--network-alias database\mysql# 其他容器通过别名访问dockerrun--rm--networkapp-net alpinepingmysqldockerrun--rm--networkapp-net alpinepingdatabase# 查看网络别名dockernetwork inspect app-net3. 端口映射通信3.1 基础端口映射# 映射到宿主机端口dockerrun-d--nameweb-p8080:80 nginx# 其他容器通过宿主机访问dockerrun--rmalpinecurlhttp://host.docker.internal:8080# 映射到特定 IPdockerrun-d-p127.0.0.1:8080:80 nginx# 随机端口dockerrun-d-Pnginx# 查看看口映射dockerport web3.2 多端口映射# 映射多个端口dockerrun-d\--nameapp\-p8080:8080\-p8443:8443\-p9000-9005:9000-9005\myapp# UDP 端口dockerrun-d-p53:53/udp dns-server# 查看所有端口映射dockerinspect app|grep-A20PortBindings4. 容器网络共享4.1 Container 模式# 主容器提供网络dockerrun-d--nameweb nginx# 辅助容器共享网络dockerrun-d--namesidecar--networkcontainer:web fluentd# sidecar 容器可以使用 localhost 访问 web# sidecar 容器没有独立网络栈IP 与 web 相同# 查看网络dockerexecsidecaripaddr# 与 web 相同# 适用场景# - 日志收集# - 监控代理# - 网络调试4.2 网络工具侧车# 主应用容器dockerrun-d--nameapp myapp# 网络调试容器共享网络dockerrun-it--namenet-debug--networkcontainer:app alpinesh# 在调试容器中抓包apkaddtcpdump tcpdump-ieth0-c10# 查看网络连接netstat-tulnss-tuln5. Docker Compose 通信5.1 Compose 默认网络# docker-compose.ymlversion:3.8services:web:image:nginxapi:image:myapidb:image:mysqlenvironment:MYSQL_ROOT_PASSWORD:123# 服务之间自动可以通过服务名通信# web → api# api → db5.2 自定义 Compose 网络version:3.8services:web:image:nginxnetworks:-frontendapi:image:myapinetworks:-frontend-backenddb:image:mysqlnetworks:-backendnetworks:frontend:backend:6. 跨主机通信6.1 Overlay 网络# 初始化 Swarm 集群dockerswarm init --advertise-addr192.168.1.10# 创建 Overlay 网络dockernetwork create-doverlay--attachablemy-overlay# 在其他节点加入集群dockerswarmjoin--tokenSWMTKN-1-xxx192.168.1.10:2377# 使用 Overlay 网络运行服务dockerservicecreate--nameweb--networkmy-overlay nginx# 查看 Overlay 网络状态dockernetwork inspect my-overlay6.2 Macvlan 跨主机# 每台主机创建相同配置的 macvlan 网络dockernetwork create-dmacvlan\--subnet192.168.1.0/24\--gateway192.168.1.1\-oparenteth0\macnet# 容器获得同网段 IP可直接跨主机通信7. 通信测试工具7.1 网络测试容器# 创建网络测试镜像catDockerfile.testEOF FROM alpine RUN apk add --no-cache curl wget netcat-openbsd bind-tools iputils nmap CMD [sleep, infinity] EOFdockerbuild-fDockerfile.test-tnet-tool.# 运行测试容器dockerrun-d--nametester--networkapp-net net-tool# 测试连接dockerexectesterpingwebdockerexectesternslookupapidockerexectestercurlhttp://db:33067.2 常用测试命令# Ping 测试dockerexeccontainerApingcontainerB# HTTP 测试dockerexeccontainerAcurl-vhttp://containerB:8080/health# 端口连通性dockerexeccontainerAnc-zvcontainerB3306# DNS 解析dockerexeccontainerAnslookupcontainerBdockerexeccontainerAdigcontainerB# 路由追踪dockerexeccontainerAtraceroutecontainerB# HTTP 压力测试dockerexeccontainerA ab-n1000-c10http://containerB:8080/8. 安全通信8.1 TLS/SSL 加密# 为容器间通信配置 TLS# 生成证书openssl req-x509-newkeyrsa:4096-keyoutkey.pem-outcert.pem-days365-nodes# 挂载证书到容器dockerrun-d--nameapp\-v$(pwd)/cert.pem:/app/cert.pem\-v$(pwd)/key.pem:/app/key.pem\myapp# 配置 HTTPSdockerrun-d--namenginx\-v$(pwd)/cert.pem:/etc/nginx/cert.pem\-v$(pwd)/key.pem:/etc/nginx/key.pem\nginx8.2 网络隔离策略# 创建隔离网络dockernetwork create--internalinternal-net# 敏感服务放在内部网络dockerrun-d--namedb--networkinternal-net mysql# API 网关连接内外网络dockerrun-d--nameapi-gateway--networkinternal-net--networkexternal-net myapp# 外部只能访问 API 网关9. 故障排查9.1 常见通信问题# 1. 容器无法解析其他容器名# 检查网络类型默认 bridge 不支持dockerinspect container|grep-A10Networks# 2. 端口连接失败# 检查容器内服务是否运行dockerexeccontainernetstat-tuln# 3. 网络隔离导致无法通信# 检查网络配置dockernetwork inspect network-name# 4. iptables 规则干扰sudoiptables-L-n-v9.2 通信监控# 监控容器间流量dockerrun-it--rm--nethost nicolaka/netshoot# 使用 tcpdump 抓包# 查看连接状态dockerexeccontainer ss-tunp# 监控服务端口dockerexeccontainernetstat-an|grepLISTEN10. 性能优化10.1 减少网络开销# 使用 host 网络减少 NATdockerrun-d--networkhostmyapp# 使用 --link已过时不推荐# 使用自定义网络代替# 使用网络音量dockernetwork create--optcom.docker.network.bridge.enable_ip_masqueradefalse mynet10.2 连接池# 应用层配置连接池# 减少频繁建立连接的开销# 以 MySQL 为例11. 通信模式对比方式性能易用性跨主机适用场景自定义网络中高否单机微服务端口映射低低是外部访问Container模式高中否SidecarOverlay中高是Swarm 集群Macvlan高中是物理网络12. 最佳实践✅ 推荐做法使用自定义网络统一管理服务间使用容器名通信合理规划网络架构前端/后端/数据层敏感服务放在内部网络使用健康检查确保服务可用添加网络连接超时和重试❌ 避免事项使用已废弃的--link跨服务传递容器 IPIP 会变化忽略网络隔离导致安全漏洞生产环境使用默认 bridge13. 常见问题Q1: 容器间通信延迟高怎么办使用--network host模式检查网络驱动配置使用 Macvlan 绕过 NATQ2: 容器重启后 IP 变化怎么办使用容器名而不是 IP自定义网络提供 DNS 解析Q3: 如何限制容器间通信使用网络隔离配置 iptables 规则使用网络策略Kubernetes14. 小结自定义网络是最推荐的容器间通信方式容器名解析简化服务发现端口映射用于外部访问Container 模式适合 SidecarOverlay/Macvlan支持跨主机通信合理设计网络架构提高安全性选择适当的通信方式平衡性能和易用性