O que a opção --net = host no comando Docker realmente faz?

Sou um pouco iniciante no Docker. Não consegui encontrar uma descrição clara do que essa opção faz no comando docker run em profundidade e um pouco confuso sobre isso.

Podemos usá-lo para acessar os aplicativos em execução em contêineres docker sem especificar uma porta? Por exemplo, se eu executar um webapp implantado por meio de uma imagem docker na porta 8080 usando a opção -p 8080:8080no comando docker run, sei que terei que acessá-lo na porta 8080 em containers Docker ip / theWebAppName. Mas eu realmente não consigo pensar em como a --net=hostopção funciona.

Após a instalação do docker, você tem 3 redes por padrão:

docker network ls
NETWORK ID          NAME                DRIVER              SCOPE
f3be8b1ef7ce        bridge              bridge              local
fbff927877c1        host                host                local
023bb5940080        none                null                local

Estou tentando manter isso simples. Portanto, se você iniciar um contêiner por padrão, ele será criado dentro da rede bridge (docker0).

$ docker run -d jenkins
1498e581cdba        jenkins             "/bin/tini -- /usr..."   3 minutes ago       Up 3 minutes        8080/tcp, 50000/tcp   friendly_bell

No dockerfile do Jenkins, as portas 8080e 50000estão expostas. Essas portas são abertas para o contêiner em sua rede de ponte. Assim, tudo dentro dessa rede de ponte pode acessar o contêiner na porta 8080e 50000. Tudo na rede de bridge está na faixa privada de. "Subnet": "172.17.0.0/16",Se você quiser acessá-los de fora, terá que mapear as portas -p 8080:8080. Isso mapeará a porta do seu contêiner para a porta do seu servidor real (a rede host). Assim, acessar seu servidor em 8080irá direcionar para sua rede bridgen na porta 8080.

Agora você também tem sua rede de host. Que não contêineres a rede de contêineres. Portanto, se você iniciar um contêiner na rede do host, ele terá a seguinte aparência (é o primeiro):

CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS              PORTS                 NAMES
1efd834949b2        jenkins             "/bin/tini -- /usr..."   6 minutes ago       Up 6 minutes                              eloquent_panini
1498e581cdba        jenkins             "/bin/tini -- /usr..."   10 minutes ago      Up 10 minutes       8080/tcp, 50000/tcp   friendly_bell

A diferença está nas portas. Seu contêiner agora está dentro de sua rede host. Portanto, se você abrir a porta 8080em seu host, acessará o contêiner imediatamente.

$ sudo iptables -I INPUT 5 -p tcp -m tcp --dport 8080 -j ACCEPT

Eu abri a porta 8080em meu firewall e quando 8080estou acessando meu servidor na porta estou acessando meus jenkins. Acho que este blog também é útil para entendê-lo melhor.

A --net=hostopção é usada para fazer com que os programas dentro do contêiner do Docker pareçam estar sendo executados no próprio host, da perspectiva da rede. Ele permite ao contêiner um maior acesso à rede do que ele normalmente pode obter.

Normalmente você tem que encaminhar portas da máquina host para um contêiner, mas quando os contêineres compartilham a rede do host, qualquer atividade de rede acontece diretamente na máquina host - assim como aconteceria se o programa estivesse sendo executado localmente no host em vez de dentro de um recipiente.

Embora isso signifique que você não precisa mais expor as portas e mapeá-las para portas de contêiner, significa que você precisa editar seus Dockerfiles para ajustar as portas nas quais cada contêiner escuta, para evitar conflitos, pois não é possível ter dois contêineres operando no mesmo porta do host. No entanto, o verdadeiro motivo para essa opção é a execução de aplicativos que precisam de acesso à rede difícil de encaminhar para um contêiner no nível da porta.

Por exemplo, se você deseja executar um servidor DHCP, você precisa ser capaz de ouvir o tráfego de broadcast na rede e extrair o endereço MAC do pacote. Essas informações são perdidas durante o processo de encaminhamento de porta, portanto, a única maneira de executar um servidor DHCP dentro do Docker é executar o contêiner como --net=host.

De modo geral, --net=hosté necessário apenas quando você executa programas com necessidades de rede incomuns e muito específicas.

Por último, de uma perspectiva de segurança, os contêineres do Docker podem escutar em muitas portas, embora eles apenas anunciem (exponham) uma única porta. Normalmente, isso é bom, pois você apenas encaminha a única porta esperada; no entanto, se você usar --net=host, terá todas as portas do contêiner escutando no host, mesmo aquelas que não estão listadas no Dockerfile. Isso significa que você precisará verificar o contêiner de perto (especialmente se não for seu, por exemplo, um oficial fornecido por um projeto de software) para ter certeza de não expor inadvertidamente serviços extras na máquina.

1. você pode criar sua própria rede como --net = "qualquer nome"
2. isso é feito para isolar os serviços de diferentes contêineres.
3. suponha que o mesmo serviço esteja sendo executado em contêineres diferentes, mas o mapeamento da porta permaneça o mesmo, o primeiro contêiner inicia bem, mas o mesmo serviço do segundo contêiner falhará. portanto, para evitar isso, altere os mapeamentos de porta ou crie uma rede.