Linux 容器網路深度解析

在容器化技術蓬勃發展的今天，Docker 與 Kubernetes 已成為現代運維的核心。然而，對於許多中階 Linux 使用者而言，容器的網路連線往往是一個黑盒子：容器能上網，卻無法從外部存取；或者多個容器之間無法互相通訊。這通常是因為對底層網路架構缺乏足夠的理解。本文將深入淺出地拆解 Linux 容器網路的運作機制，並提供實用的排錯技巧。

容器網路的基礎架構：veth pair 與 Bridge

要理解容器網路，必須先認識 Linux 的核心技術：Namespace 與 Cgroup。容器透過 Network Namespace 實現了網路堆疊的隔離，每個容器都擁有獨立的網路介面、路由表和 ARP 快取。

當 Docker 啟動一個容器時，它會在主機上建立一對虛擬網路介面，稱為 veth pair（Virtual Ethernet Pair）。這就像一根虛擬網線，一端連接到主機的橋接器（Bridge），另一端則伸入容器的 Network Namespace 中。

預設情況下，Docker 會建立一個名為 docker0 的橋接網路。容器內的介面（例如 eth0）會透過 veth 介面連接到 docker0。docker0 扮演了交換器的角色，負責將來自不同容器的流量進行轉發，並透過 NAT（網路位址轉換）機制讓容器共享主機的 IP 位址存取外部網路。

實戰：建立與測試容器網路

為了更直觀地理解，我們將在 Ubuntu 22.04 或 Debian 12 上進行實際操作。請確保您的系統已安裝 Docker。

步驟一：觀察預設網路環境

首先，我們啟動一個簡單的容器，並進入其網路命名空間進行檢查。

# 啟動一個名為 test-net 的容器，並進入 shell
docker run -it --name test-net ubuntu bash

在容器內部，您可以執行 ip addr 查看介面資訊。您會發現 eth0 有一個私有 IP（例如 172.17.0.2）。現在，讓我們退出容器，回到主機環境。

步驟二：檢視主機端的 veth pair

在主機終端機中，輸入以下指令來找出對應的虛擬介面：

# 列出所有 veth 介面及其連線狀態
ip link show | grep veth

您會看到類似 veth1234@if5 的輸出。這表示主機上有一個 veth1234 介面，它連接到編號為 5 的介面（即容器內的 eth0）。

接著，檢查 docker0 橋接器的狀態：

ip addr show docker0

這確認了 docker0 作為橋接網路的存在，並分配了網段（通常是 172.17.0.0/16）。

步驟三：建立自定義網路以解決通訊問題

預設的 bridge 網路雖然方便，但容器之間只能透過 IP 通訊，且無法使用服務名稱解析。若需更靈活的網路配置，建議建立自定義網路。

# 建立一個名為 my-network 的自定義橋接網路
docker network create my-network

# 啟動兩個容器並連接到該網路
docker run -itd --name web --network my-network nginx
docker run -itd --name db --network my-network redis

在自定義網路中，Docker 內建了 DNS 伺服器。您可以直接在 web 容器中使用服務名稱 db 來存取 redis 容器，無需知道其具體 IP 位址。

# 進入 web 容器並測試連線
docker exec -it web bash
ping db

若能成功 ping 通，代表自定義網路的 DNS 解析與路由轉發均正常運作。

常見問題與排錯

1. 容器無法存取外部網路

若容器無法連線到外部網站，通常是因為主機的 iptables 規則或 NAT 設定有誤。請檢查主機的轉發功能是否啟用：

# 檢查 net.ipv4.ip_forward 是否為 1
sysctl net.ipv4.ip_forward

若返回值為 0，請執行 sysctl -w net.ipv4.ip_forward=1 並將其加入 /etc/sysctl.conf 以永久生效。此外，檢查 iptables 的 FORWARD 鏈是否允許流量通過。

2. 外部無法存取容器服務

預設情況下，Docker 不會自動將容器埠映射到主機。若需從外部存取，必須使用 -p 參數：

docker run -d -p 8080:80 nginx

這將主機的 8080 埠映射到容器的 80 埠。若仍無法存取，請檢查主機的防火牆（如 ufw 或 firewalld）是否阻擋了該埠。在 Ubuntu 上，可執行 sudo ufw allow 8080 來放行。

小結

Linux 容器網路的核心在於 veth pair 與 Bridge 的協同運作。透過理解 Namespace 隔離與 NAT 機制，我們能更有效地管理容器間的通訊。對於生產環境，建議使用自定義網路來提升可維護性，並善用 -p 參數精確控制埠映射。掌握這些基礎知識，將助您在容器化架構中游刃有余。