请描述 Docker 的网络模型（network model）及其主要类型。

Docker 的网络模型是容器编排的核心组件之一它负责处理容器之间、容器与宿主机之间、以及容器与外部网络之间的通信。Docker 提供了灵活且强大的网络驱动支持多种网络模式以适应不同的应用场景。1. Docker 网络模型核心概念Docker 网络模型基于CNM (Container Network Model)标准主要由以下三个核心组件构成Sandbox沙箱代表一个容器的网络栈Network Stack。包含容器的网络接口网卡、路由表、DNS 配置等。它是隔离的确保容器拥有独立的网络环境。Endpoint端点是 Sandbox 连接到 Network 的接口。类似于将网线插入交换机的端口。一个容器可以连接到多个网络拥有多个 Endpoint。Network网络由一组可以相互通信的 Endpoint 组成。它是 Docker 网络的抽象层可以是 Bridge、Overlay、Macvlan 等不同类型。负责管理 IP 地址分配、路由、加密等。2. Docker 网络的主要类型Docker 提供了五种主要的网络驱动每种驱动对应不同的网络模型和适用场景A. Bridge桥接网络——默认模式这是 Docker 最基础、最常用的网络模式适用于单机环境。工作原理Docker 在宿主机上创建一个名为docker0的虚拟网桥Linux Bridge。每个启动的容器都会创建一对虚拟网卡veth pair一端在容器内eth0另一端连接到docker0网桥。容器通过docker0网桥进行通信并使用 NAT网络地址转换访问外部网络。特点隔离性不同 Bridge 网络下的容器默认无法直接通信。端口映射需要通过-p参数将容器端口映射到宿主机端口才能被外部访问。IP 分配Docker 内置的 DHCP 服务为容器分配私有 IP通常是172.17.0.0/16。适用场景单机开发、测试环境、简单的 Web 应用。B. Host主机网络容器直接使用宿主机的网络栈不进行网络隔离。工作原理容器共享宿主机的网络接口、IP 地址和端口。容器内看到的网络配置与宿主机完全一致。特点无隔离容器与宿主机共享网络没有独立的 IP。高性能没有 NAT 转换开销网络性能最高。端口冲突容器使用的端口不能与宿主机或其他使用 Host 模式的容器冲突。适用场景对网络性能要求极高的应用如监控代理、日志收集器或需要直接绑定宿主机端口的服务。C. None无网络容器拥有独立的网络栈但不进行任何网络配置。工作原理容器启动时只有lo回环接口没有其他网络接口。无法与外部通信也无法与其他容器通信。特点完全隔离网络层面完全断开。手动配置需要用户手动添加网卡、配置路由通常通过docker network connect或自定义脚本。适用场景对安全性要求极高的批处理任务或需要完全自定义网络配置的场景。D. Overlay覆盖网络——集群模式专为Docker Swarm或Kubernetes等集群环境设计用于跨主机通信。工作原理基于 VXLAN 技术在物理网络之上构建一个虚拟的二层网络。容器在不同宿主机上通信时数据包会被封装在 UDP 包中通过物理网络传输。内置 DNS 服务支持服务发现。特点跨主机通信允许不同宿主机上的容器像在同一局域网内一样通信。加密支持 IPSEC 加密保障数据安全。服务发现集成 Swarm 的服务发现机制容器可以通过服务名互相访问。适用场景微服务架构、Docker Swarm 集群、跨主机通信需求。E. MacvlanMAC 地址虚拟化为容器分配真实的物理网络接口使容器看起来像网络中的独立物理设备。工作原理将宿主机的物理网卡虚拟化为多个子接口每个子接口拥有独立的 MAC 地址和 IP 地址。容器直接连接到宿主机的物理网络无需 NAT 转换。特点直接接入物理网络容器拥有物理网络中的独立 IP可以直接与外部设备通信。性能高没有 NAT 和 VXLAN 封装开销。配置复杂需要物理网络支持如交换机端口配置且可能受 MAC 地址数量限制。适用场景需要直接接入物理网络的应用如网络设备模拟器、高性能计算、传统应用迁移。3. 网络类型对比表网络类型隔离性跨主机通信性能配置复杂度适用场景Bridge中等❌ 否中等低单机开发、测试Host无❌ 否最高最低高性能、监控代理None最高❌ 否N/A高安全批处理、自定义网络Overlay中等✅ 是中等中集群、微服务Macvlan低✅ 是高高物理网络接入、传统应用4. 常用网络管理命令# 1. 查看网络列表dockernetworkls# 2. 创建自定义 Bridge 网络dockernetwork create--driverbridge my-bridge-net# 3. 创建自定义 Overlay 网络 (需在 Swarm 模式下)dockernetwork create--driveroverlay--attachablemy-overlay-net# 4. 将容器连接到网络dockernetwork connect my-bridge-net my-container# 5. 断开容器网络连接dockernetwork disconnect my-bridge-net my-container# 6. 查看网络详细信息dockernetwork inspect my-bridge-net# 7. 删除网络dockernetworkrmmy-bridge-net5. 总结Docker 的网络模型通过CNM标准实现了灵活的网络隔离和通信能力Bridge是单机环境的默认选择简单易用。Host和None提供了极端的性能或隔离选项。Overlay是集群环境的核心支持跨主机通信和服务发现。Macvlan则适用于需要直接接入物理网络的特殊场景。理解这些网络类型及其工作原理对于设计高可用、高性能的容器化应用架构至关重要。