docker的桥接网卡 docker桥接物理网卡

转载

互联网小墨风 2023-12-03 15:56:18

文章标签 docker的桥接网卡运维数据库 shell Docker 文章分类 Docker 云计算

本文讲的是探索本地Docker桥接网络，【编者的话】本文主要介绍了Docker的基础网络知识，作者通过容器与MongoDB实例的连接的小实验探索了Docker的网路知识以及其中的一些问题。

我正在写《Docker in Action》（译者注：此书的样章可以在这里查看）第五章，内容有关Docker的容器连接与网络配置。最近一直在关注Docker的其它几个部分，我也重新熟悉了容器连接并深入研究了网络。本文不会赘述我们已经熟悉的网络桥接。但是我猜很多使用Docker的开发者仍然不熟悉这部分内容，接下来我将为你展示容器启动的时候如何创建网络。下面我将会做一个实验，从几个容器中操作MongoDB。

启动目标容器

在这个实验中我们的目标是MongoDB数据库。你可以安装并使用以下命令启动MongoDB容器。

docker run --name some-mongo -d mongo:latest

启动另一个容器

这个容器基于Ubuntu镜像构建，运行了一个Shell环境。你可以检查你的本地网络并从这个容器连接到Mongo实例。

docker run -it --rm ubuntu:latest /bin/bash root@XXX:/#

在交互模式下启动镜像，这样就可以安装你所需要的工具或者做其它事情而不会扰乱你的主机系统的状态。

获取您的命令行工具

你需要的工具包括 Mongo CLI

和 nmap

（译者注：nmap是网络探测工具和安全/端口扫描器）。

root@XXX:/＃apt-get -y install nmap
root@XXX:/＃apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv 7F0CEB10
root@XXX:/＃echo 'deb http://downloads-distro.mongodb.org/repo/ubuntu-upstart dist 10gen' | sudo tee /etc/apt/sources.list.d/mongodb.list
root@XXX:/＃apt-get update
root@XXX:/＃apt-get install -y mongodb-org-shell

既然你正在以root身份运行的容器，你不用担心标准的

sudo

命令前缀。一旦这些命令运行完成，你就可以准备开启实验。

扫描网络

找到你的容器的IP地址，这样你就可以猜出你的目标可能在哪。

root@XXX:/＃MY_IP=`/sbin/ifconfig eth0 | grep 'inet addr:' | cut -d: -f2 | awk '{ print $1}'`

寻找在同一子网的监听端口为27017子网中的主机。执行此操作使用

nmap

进行子网的27017端口的扫描：

root@XXX:/＃nmap -sS -p 27017 $MY_IP/24

在我的测试环境中的网络端口扫描的结果如下：

Starting Nmap 6.40 ( http://nmap.org ) at 2014-12-09 15:52 UTC
Nmap scan report for 172.17.0.33
Host is up (0.000030s latency).
PORT STATE SERVICE
27017/tcp closed unknown
MAC Address: 02:42:AC:11:00:21 (Unknown)
Nmap scan report for 172.17.0.34
Host is up (0.000021s latency).
PORT STATE SERVICE
27017/tcp closed unknown
MAC Address: 02:42:AC:11:00:22 (Unknown)
Nmap scan report for 172.17.0.96
Host is up (-0.079s latency).
PORT STATE SERVICE
27017/tcp open unknown
MAC Address: 02:42:AC:11:00:60 (Unknown)
Nmap scan report for 172.17.0.131
Host is up (-0.084s latency).
PORT STATE SERVICE
27017/tcp closed unknown
MAC Address: 02:42:AC:11:00:83 (Unknown)
Nmap scan report for XXX (172.17.0.132)
Host is up (0.000055s latency).
PORT STATE SERVICE
27017/tcp closed unknown
Nmap done: 256 IP addresses (5 hosts up) scanned in 4.10 seconds

从以上的输出中你可以看到，我的测试环境中运行的5个容器（包括一个正在运行命令的）。五个其中之一的端口27017是开放的。开放此端口的IP地址是运行你的MongoDB实例容器的IP地址。这是有趣的并且某些情况下可能会是一个惊喜，一会儿我就来聊聊这些。首先，让我们先做完实验。

访问数据库

使用先前安装的mongo CLI，你应该能够访问在其它容器中运行的MongoDB实例。在你得意忘形之前，你要知道这并不是Docker的或者Linux内核的漏洞，服务的端口是开放的，所以你肯定能正常访问。

当你配合IP地址运行以下命令，你可以看到输出：

root@XXX:/＃mongo --host 172.17.0.96 # replace the IP address
MongoDB shell version: 2.6.6
connecting to: 172.17.0.96:27017/test
Welcome to the MongoDB shell.
For interactive help, type "help".
For more comprehensive documentation, see
http://docs.mongodb.org/
Questions? Try the support group
http://groups.google.com/group/mongodb-user
>_

就是这样。你可以在不同的容器内连接到MongoDB实例。获取对数据库的访问就是这么容易。惊讶吧？不应该。你正在运行一个没有身份验证要求的MongoDB实例。不要以为防火墙或网络拓扑会保护你的安全性差的服务。