Docker Network

Docker Network

 

·         Version : Docker

 

Docker network는 컨테이너에 내부IP를 순차적으로 할당하고 컨테이너가 재시작 할 때마다 부여된 IP가 변경될 수 있다. 내부IP는 도커가 설치된 호스트의 내부망에서만 쓸 수 있기 때문에 외부와 통신을 하기 위해 veth* 라는 네트워크 인터페이스를 생성하여 외부와 통신한다.

 

도커가 설치된 호스트에서 ifconfig나 ip addr같은 네트워크 명령어로 인터페이스를 확인 해보면 실행중인 컨테이너 수 만큼 veth*로 시작하는 인터페이스가 생성된 것을 알 수 있다.

·         eth0 : 내부IP가 외부로 통신하기 위한 인터페이스로 호스트의 네트워크 이다. Eth0 네트워크가 각 veth*로 시작하는 네트워크와 통신한다.

·         docker0 : veth* 인터페이스와 바인딩되어 호스트의 eth0 인터페이스와 이어주는 역할을 한다.

 

 

도커가 제공하는 기본적인 네트워크는 bridge, host, none, container, ovelay가 있다. 도커를 설치하면 기본적으로 docker0 브릿지를 통해 외부와 통신할 수 있으며 선택에 따라 여러 네트워크 드라이버를 사용할 수 도 있다.

 

도커에서 생성되어 있는 네트워크를 확인은 docker network ls 명령어로 확인할 수 있다.

docker network ls

 

 

[bridge network]

사용자 정의 브릿지를 새로 생성하여 각 컨테이너에 연결한다. 컨테이너는 연결된 브릿지를 통해 외부와 통신한다. 아래 명령어로 mybrdge라는 네트워크를 생성할 수 있다.

docker network create --driver bridge mybridge

 

 

docker run또는 create명령어에 --net 옵션의 값을 설정하면 컨테이너가 해당 네트워크를 사용한다.

docker run -it --name container_name --net mybridge nginx

 

서브넷, 게이트웨이, IP할당 등 임의로 설정하려면 네트워크를 생성할 때 아래와 같이 옵션을 추가한다. 주의할 점은 --subnet과 --ip-range 는 같은 대역 이어야 한다.

Docker network create --drive=bridge \ --subnet=172.72.0.0/16 \ --ip-range=172.72.0,0/24 \ --gateway=172.72.0.1 \ Mybridge

 

run 명령시 --net-alias 옵션을 함께 쓰면 alias이름으로 여러 개의 컨테이너에 접근할 수 있다.

docker run -it --name container_name1 --net mybridge --net-alias ali01  nginx docker run -it --name container_name2 --net mybridge --net-alias ali01  nginx docker run -it --name container_name3 --net mybridge --net-alias ali01  nginx

 

컨테이너 생성이 완료되면 ping을 사용해서 각 컨테이너로 ping이 전송되는 것을 확인할 수 있다. Ping이 전달되는 IP 는 라운드로빈 방식으로 도커 엔진에 내장된 DNS가 ali01이라는 호스트 이름을 --net-alias dhqtusdmfh ali01로 설정한 컨테이너로 변환(resolve)하기 때문이다.

 

[host]

호스트 네트워크는 호스트의 네트워크 환경을 그대로 사용한다. 호스트 머신에서 설정한 호스트 이름을 컨테이너가 상속받기 때문에 컨테이너의 호스트 이름도 무작위 16진수가 아닌 도커 엔진이 설치된 호스트 머신의 호스트 이름을 설정 된다.

docker run -it --name container_name --net host nginx

 

컨테이너의 네트워크를 호스트로 설정할 경우 별도의 포트 포워딩 필요없이 바로 서비스가 가능하다.

 

[none]

어떠한 네트워크도 사용하지 않겠다는 뜻이다. 외부와의 연결이 단절된다.

docker run -it --name container_name --net none nginx

 

[container]

이 네트워크는 다른 컨테이너의 네트워크 환경을 공유할 수 있다. 공유되는 속성은 내부 IP, 네트워크 인터페이스의 MAC 주소 등이다. 사용법은 --net container:[컨테이너ID] 이다.

docker run -it --name container_name --net container:container_id nginx

 

[overlay]

여러 도커 데몬 호스트 사이에 분산 네트워크를 만든다. 이 네트워크는 호스트 특정 네트워크 상단에 위치하여(오버레이) 호스트 서비스 네트워크에 연결된 컨테이너(swarm 서비스 컨테이너 포함)가 안전하게 통신할 수 있다. 도커는 대상 컨테이너간에 각 패킷 라우팅을 투명하게 처리 한다. swarm을 초기화 하거나 docker호스트를 기존 swarm에 가입 시키면 해당 도커 호스트에 두 개의 새로운 네트워크가 생성된다.

·         오버레이 네트워크라 불리는 Ingress는 swarm 서비스와 관련된 제어 및 데이터 트래픽을 처리한다. swarm 서비스를 생성하고 사용자 정의 오버레이 네트워크에 연결하지 않으면 기본적으로 ingress 네트워크에 연결된다.

docker network create -d overlay my-overlay

 

독립 실행형 컨테이너가 다른 docker 데몬에서 실행되는 다른 독립 실행형 컨테이너와 통신하기 위해 사용할 수 잇는 오버레이 네트워크를 만들려면 --attachable 옵션을 사용한다.

docker network create -d overlay --attachable my-attachable-overlay

 

·         브릿지 네트워크라 불리는 docker_gwbrdge는 브릿지 네트워크를 만드는것과 동일하게 docker network create 사용하여 사용자 정의 오버레이 네트워크를 만들 수 있다. 서비스 또는 컨테이너는 한번에 둘 이상의 네트워크에 연결할 수 있다. 서비스 또는 컨테이너는 각각 연결된 네트워크를 통해서만 통신할 수 있다.

docker network create \ --subnet 10.11.0.0/16 \ --opt com.docker.network.bridge.name=docker_gwbridge \ --opt com.docker.network.bridge.enable_icc=false \ --opt com.docker.network.bridge.enable_ip_masquerade=true \ docker_gwbridge

 

swarm 서비스와 독립 실행형 컨테이너 모두 오버레이 네트워크에 연결할 수 있지만 기본 동작 및 구성 관련 사항은 다르다. 이러한 이유로 오버레이 네트워크에 적용되는 작업, swarm 서비스 네트워크에 적용되는 작업 및 독립 실행형 컨테이너에 사용되는 오버레이 네트워크에 적용되는 작업으로 나뉜다.

 

모든 swarm 서비스 관리 트래픽은 기본적으로 GCM모드의 AES알고리즘을 사용하여 암호화 된다. Swarm 관리자 노드는 12시간 마다 데이터를 암호화하는데 사용되는 키를 변화시킨다. 오버레이 암호화를 활성화하면 도커는 오버레이 네트워크 연결된 모든 서비스에 대해 IPSEC 터널을 만들어 통신한다.

 

 

[참고자료]

·         Docker Network Overview :  https://docs.docker.com/network/

·         Bridge networks : https://docs.docker.com/network/bridge/

·         Overlay neworks : https://docs.docker.com/network/overlay/

·         Host networks : https://docs.docker.com/network/host/

·         Disable networks : https://docs.docker.com/network/none/

 

 

 

2019-02-20 / Sungwook Kang / http://sqlmvp.kr

 

Docker, docker network, ingress, overlay, container, host, 도커 네트워크, swarm