Dockerネットワークの概要とその作り方の解説


 Dockerは、コンテナというコンパクトで強固な仮想環境を提供してくれるのですが、ネットワークに関しても、他の仮想化技術に負けない仮想ネットワーク機能が実装されてます。

 Dockerを利用するメリットの一つにスケーラビリティの高さが挙げられますが、それを最大限に活用するためには、Dockerの仮想ネットワークの理解が必要になります。

 本記事では、Dockerのネットワーク機能をご紹介すると共に、実際にその作り方について解説していきます。

 

Dockerネットワークのデフォルト構成

 Dockerネットワークとは、Dockerコンテナが使用するDocker環境内の仮想ネットワークのことを指します。

 コンテナが、他のコンテナや外部ホスト、外部クライアントなどと通信を行うためには、このDockerネットワークを利用する必要があります。

 実はDocker本体のインストール時に、Dockerホスト内に以下の3つのDockerネットワークがデフォルトで作成されます。

  • bridge
  • host
  • none

 まずは、この3つのDockerネットワークについて解説していきましょう。

bridge

 bridgeネットワークは、Dockerホスト内のブリッジネットワークインターフェースdocker0と接続されたDockerネットワークです。

 このdocker0は、Dockerインストール時に自動的に作成されます。

 コンテナをbridgeネットワークに接続することで、ブリッジネットワークインターフェースdocker0を介して、Dockerホスト内外のノードと通信できるようになります。

 

host

 hostネットワークに参加したコンテナは、Dockerホストの物理ネットワークインターフェースを直接利用することになります。

 つまり、コンテナ内からDockerホストの物理ネットワークインターフェースが丸見えの状態になります。もちろんIPアドレスもDockerホストと同じものを使用することになります。

 但し、利用可能なポートは、コンテナ作成時に指定したポートのみです。

 

none

 noneネットワークに参加したコンテナは、外部向けのネットワークインターフェースを持たない状態になります。つまりループバックインターフェースのみの状態です。

 ネットワーク的に外部と完全に切り離したいコンテナは、noneネットワークに参加させます。

 

bridgeネットワークについてもう少し解説

 前項の3つのネットワークの中で最も利用頻度の高いbridgeネットワークについてもう少し詳細に解説します。

 bridgeネットワーク環境を図にしてみました。

docker-network-gaiyou1

 bridgeネットワークの実体であるdocker0インターフェイスを中心に、各コンテナ用の仮想ネットワークインターフェイス(仮想nic部分)、コンテナ用の仮想ネットワークインターフェイスの実体(vethxx部分)、Dockerホストの物理インターフェイスeth0から構成されています。

 docker0とeth0は、DockerホストのOSの機能であるiptablesによるIPマスカレードによって通信が行われています。

 コンテナとbridgeネットワークについては、各コンテナ用の仮想ネットワークインターフェイスをブリッジdocker0に接続することで通信できるようになります。

 コンテナ内の仮想ネットワークインターフェースの実体は、Dockerホスト上のネットワークインターフェース(vethxx部分)でして、そのインターフェイスはコンテナを仮想ネットワークに参加させることで自動的に作成されます。

 実際に見てみましょう。

 まず、現在のDockerホスト上のネットワークインターフェースの状態です。

$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
 inet 127.0.0.1/8 scope host lo
 valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
 link/ether xx:xx:xx:xx:xx:xx brd ff:ff:ff:ff:ff:ff
 inet 192.168.1.154/24 brd 192.168.1.255 scope global eth0
 valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN
 link/ether xx:xx:xx:xx:xx:xx brd ff:ff:ff:ff:ff:ff
 inet 172.17.0.1/16 scope global docker0
 valid_lft forever preferred_lft forever

 この状態で、CentOSコンテナを起動してみます。

$ docker run -d --name vmtest centos init

 このときのDockerホスト上のネットワークインターフェースの状態を見てみましょう。

$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
 inet 127.0.0.1/8 scope host lo
 valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
 link/ether xx:xx:xx:xx:xx:xx brd ff:ff:ff:ff:ff:ff
 inet 192.168.1.154/24 brd 192.168.1.255 scope global eth0
 valid_lft forever preferred_lft forever
3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP
 link/ether xx:xx:xx:xx:xx:xx brd ff:ff:ff:ff:ff:ff
 inet 172.17.0.1/16 scope global docker0
 valid_lft forever preferred_lft forever
5: veth7cbc9a1@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master docker0 state UP
 link/ether xx:xx:xx:xx:xx:xx brd ff:ff:ff:ff:ff:ff link-netnsid 0

 「veth7cbc9a1@if4」というインターフェースが追加されてます。これが、今起動したコンテナの仮想ネットワークインターフェースになります。

 このインターフェースはブリッジdocker0と接続されています。brctlコマンドで確認してみましょう。

 Dockerホスト上で以下のコマンドを実行します。

$ brctl show
bridge name   bridge id          STP enabled   interfaces
docker0       8000.024223c4193a  no            veth7cbc9a1

 接続されていることが確認できました。(赤字部分)

 

独自ネットワークの作成方法

 コンテナ作成時にDockerネットワークを指定しない場合は、デフォルトでbridgeネットワークに自動的に参加します。

 同じDockerネットワークに所属するコンテナは、お互いに通信可能な状態になります。よって、Dockerネットワークを指定せずに起動したコンテナは全てbridgeネットワークに参加することになるため、お互いに通信可能になります。

 しかし場合によっては、ネットワークを別にして、ネットワーク的に隔離したいコンテナもあるのではないでしょうか。

 その場合は、手動で新規にDockerネットワークを作成して、そのネットワークを利用します。

 早速作成してみましょう。

 まず、現状のDockerネットワークの状態です。Dockerのデフォルトのネットワークのみの状態です。

$ docker network ls
NETWORK ID    NAME      DRIVER   SCOPE
8b2a7b193570  bridge    bridge   local
76436c8075b5  host      host     local
825a5633a688  none      null     local

※docker network lsはDockerネットワークの一覧を出力するコマンドです

 この状態で新規にネットワークtestnet01を追加します。

$ docker network create -d bridge testnet01

※docker network createはDockerネットワークを作成するコマンドです

 docker network lsコマンドで確認します。

$ docker network ls
NETWORK ID    NAME      DRIVER  SCOPE
8b2a7b193570  bridge    bridge  local
76436c8075b5  host      host    local
825a5633a688  none      null    local
15400500e201  testnet01 bridge  local

 testnet01が追加されていることが確認できました。(赤字部分)

 このときのDockerホスト上のネットワークインターフェースの状態を見てみましょう。

$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
 inet 127.0.0.1/8 scope host lo
 valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000
 link/ether 00:15:5d:01:46:07 brd ff:ff:ff:ff:ff:ff
 inet 192.168.1.154/24 brd 192.168.1.255 scope global eth0
 valid_lft forever preferred_lft forever
3: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN
 link/ether 02:42:f2:98:cb:47 brd ff:ff:ff:ff:ff:ff
 inet 172.17.0.1/16 scope global docker0
 valid_lft forever preferred_lft forever
4: br-15400500e201: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN
 link/ether 02:42:86:27:2d:c8 brd ff:ff:ff:ff:ff:ff
 inet 172.18.0.1/16 scope global br-15400500e201
 valid_lft forever preferred_lft forever

 「br-15400500e201」が追加されてます。これが、今追加したtestnet01用のインターフェースなのですが、念のためdockerネットワークの詳細情報を確認するコマンド「docker network inspect」でtestnet01の情報を見てみましょう。

$ docker network inspect testnet01
[
 {
 "Name": "testnet01",
 "Id": "15400500e201c6e3d5b5f0e4b7ad74d44c59d051a6a549326b42a4fb37ad28cc",
 "Created": "2017-03-29T12:02:47.450216744+09:00",
 "Scope": "local",
 "Driver": "bridge",
 "EnableIPv6": false,
 "IPAM": {
 "Driver": "default",
 "Options": {},
 "Config": [
 {
 "Subnet": "172.18.0.0/16",
 "Gateway": "172.18.0.1"
(以下略)

 「Gateway」のIPアドレスとして172.18.0.1が設定されていることが確認できます。先ほどネットワークインターフェースの状態を確認した際に出力された「br-15400500e201」に設定されていたIPアドレスと同じです。

 また、testnet01の情報の中のIdの先頭から12文字(上の赤字部分)がインターフェース名の「br-」の後に付けられています。これはDockerの仕様です。

 以上より、手動でDockerネットワークを追加しますと、Dockerホスト上に自動的にブリッジインターフェースが作成されることがわかります。

 ちなみに、今回新規に作成しましたtestnet01は、Dockerのデフォルトネットワークであるbridgeと同じレベルのDockerネットワークとなります。

 

まとめ

 今回はDockerの仮想ネットワークの解説と、実際にDockerネットワークを作成しました。

 LinuxコマンドやDockerのコマンドなどで実際の環境情報をご覧いただきましたので、より具体的にご理解いただけたのではないでしょうか。

 Dockerホストを個人で使用している場合は、仮想ネットワークはそれほど必要性を感じないかもしれません。しかし、複数人で多様なサービスを使用するような環境では、仮想ネットワークを使用してコンテナのネットワークを分ける必要性が出てくると思います。

 また場合によっては、1つのコンテナを複数のネットワークに参加させた方が都合の良いこともあると思います。

 Dockerネットワークは、構成がシンプルですので、このような様々なニーズに柔軟に対応できるように作られてます。

 これに関しましては、別記事「単一のDockerホスト内の色々なネットワーク構成例」(作成中)をご参照ください。

 

 最後までお読みいただきありがとうございました。


コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です