文章首发于公众号《程序员果果》
地址：https://mp.weixin.qq.com/s/DzF-ZwaY4QtlgM32I5wybg专注于为中小企业提供成都做网站、网站制作服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业西市免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了超过千家企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。
通过ifconfig查看docker0的网络设备，docker守护进程就是通过docker0为docker的容器提供网络连接的各种服务。
[root@localhost ~]# ifconfig docker0
docker0: flags=4163 mtu 1500
inet 172.17.0.1 netmask 255.255.0.0 broadcast 0.0.0.0
inet6 fe80::42:2fff:fe56:7b2e prefixlen 64 scopeid 0x20
ether 02:42:2f:56:7b:2e txqueuelen 0 (Ethernet)
RX packets 27406 bytes 2657911 (2.5 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 42036 bytes 58020300 (55.3 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 docker守护进程就是通过docker0为docker容器提供网络连接的各种服务。docker0 就是Linux的虚拟网桥 。
OSI七层模型中的网桥:
Linux虚拟网桥的特点:
docker0的地址划分:
docker守护进程在一个容器启动时，实际上它要创建网络连接的两端。一端是在容器中的网络设备，而另一端是在运行docker守护进程的主机上打开一个名为veth*的一个接口，用来实现docker这个网桥与容器的网络通信。
下面我们看一下实际的过程：
需要查看网桥，需要linux的网桥管理程序，在Ubuntu中通过 apt-get install bridge-utils。
$ sudo brctl show
bridge name bridge id STP enabled interfaces
docker0 8000.0242ed943d02 no运行一个docker容器，在容器中查看它的网络设备(如果没有ifconfig命令，通过apt-get install -y net-tools)。
root@b2a3136f5425:/# ifconfig
eth0 Link encap:Ethernet HWaddr 02:42:ac:11:00:02
inet addr:172.17.0.2 Bcast:0.0.0.0 Mask:255.255.0.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:145 errors:0 dropped:0 overruns:0 frame:0
TX packets:60 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:184985 (184.9 KB) TX bytes:4758 (4.7 KB)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)docker已经自动创建了eth0的网卡，注意观察ip地址和mac地址。不要退出容器，再运行如下查看网桥的状态。
$ sudo brctl show
bridge name bridge id STP enabled interfaces
docker0 8000.0242ed943d02 no veth95521e6我们看到在interface中多了一个veth*的这样一个接口。通过ifconfig命令同样可以看到这个网络接口。
sudo ifconfig docker0 192.168.200.1 netmask 255.255.255.0修改完后，重启docker服务 sudo service docker restart. 新运行的容器地址就变成了新的ip地址了。
sudo brctl addbr br0
sudo ifconfig br0 192.168.100.1 netmask 255.255.255.0更改docker守护进程的启动配置:
vim /etc/default/docker 中添加 DOCKER_OPS的值 -b=br0.重启docker服务即可。
用于测试的Docker镜像 Dockerfile:
FROM ubuntu:14.04
RUN apt-get install -y ping
RUN apt-get update
RUN apt-get install -y nginx
RUN apt-get install -y curl
EXPOSE 80
CMD /bin/bash在同一宿主机下，docker的容器是通过虚拟网桥来进行连接的。那么在默认情况下，在同一宿主机中运行的容器都是可以互相连接的。
--icc=true 默认
容器的ip地址实际上是一个不可靠的连接，因为它会随着容器的启动而改变。
docker run --link=容器名:别名查看在容器中产生的哪些影响
$ env
查看环境变量，可以看到大量以WEBTEST*开头的环境变量，这些环境变量是在容器启动时，由docker添加的。我们还可以查看在/ect/host文件，这里添加了webtest的地址映射。当docker重启启动容器时 /ect/host所对应的ip地址发生了变化。也就是说，
针对于指定了link选项的容器，在启动时docker会自动修改ip地址和我们指定的别名之间的映射。环境变量也会做出相应的改变。
Docker守护进程的启动选项
--icc=false
修改vim /etc/default/docker，在末尾添加配置 DOCKER_OPTS="--icc=false"。需要重启docker的服务 sudo service docker restart.即使是link也ping不通。
Docker守护进程的启动选项
--icc=false --iptables=true
--link 在容器启动时添加link
docker利用iptables中的机制，在icc=false时，阻断所有的docker容器间的访问，仅仅运行利用link选项配置的容器进行相互的访问。
注: 如果出现ping不通的情况，可能为iptables的问题(DROP规则在docker之前了)。
sudo iptables -L -n 查看iptables规则的情况
sudo iptables -F 清空iptables规则设置
sudo service docker restart 重新启用docker的服务
sudo iptables -L -n 再来查看iptables的设置，docker的规则链已经在第一位重新启动容器即可。
欢迎关注我的公众号《程序员果果》，关注有惊喜~~