Docker的一个常见用例是联网服务，并且Docker拥有自己的联网模型，以使容器彼此之间以及与外界进行对话。
最初，Docker容器必须手工连接在一起，或者手动暴露给外界。 当前的网络模型使容器可以在同一主机上（或在不同主机上）自动找到彼此，并以更可控的方式向全世界公开。
[ 什么是Docker？ Linux容器说明 。 | 在InfoWorld的Docker初学者指南中深入研究炙手可热的开源框架。 | 查看我们的Docker教程： Docker入门 。 • 开始使用Docker群模式 。 • 开始使用Docker Compose 。 • 开始使用Docker卷 。 ]
Docker通过四种基本方式为开发人员提供容器网络。 前两个是桥接和覆盖网络，涵盖了生产中最常见的用例。 存在另外两个主机和Macvlan网络，以覆盖不太常见的情况。
Docker网络：桥接网络
桥接网络使运行在同一Docker主机上的容器彼此通信。 Docker的一个新实例带有一个名为bridge的默认网桥网络，默认情况下，所有新启动的容器都将与其连接。
bridge网络具有许多方便的现成默认值，但是它们可能需要在生产中进行微调。 例如， bridge容器会自动使所有端口相互暴露，但不会暴露给外界。 当您需要测试容器之间的通信时，这很有用，而对于部署实时服务则没有用。
为了获得最佳结果，请创建自己的桥接网络。 用户定义的桥梁有很多功能的bridge桥不：
- DNS解析在自定义网桥上的容器之间自动工作。 这样，您无需像在
bridge上一样使用原始IP地址在它们之间进行通信。 容器可以使用容器名称通过DNS查找其他容器。 - 容器可以在运行时从自定义桥中添加和删除。
- 可以在定制桥上的容器之间共享环境变量。
简而言之，您可以使用默认桥开始对容器进行修补，但是对于任何严肃的生产工作，您都需要创建自定义桥。
Docker网络：覆盖网络
桥接网络用于同一主机上的容器。 覆盖网络适用于在不同主机上运行的容器，例如Docker群中的容器。 这样一来，跨主机的容器可以相互查找并进行通信，而不必担心如何为每个参与的容器进行设置。
Docker的swarm模式协调器会自动创建一个覆盖网络ingress 。 默认情况下，群集上的所有服务都会将自己附加到ingress 。 但是，与默认bridge ，这不是生产系统的最佳选择，因为默认值可能不合适。 最好的选择是创建一个有或没有集群的自定义覆盖网络，并根据需要将节点附加到该网络。
如果要使用覆盖网络而不是在群集中未运行容器的情况，则这是创建自定义覆盖网络的另一种用例。 请注意，覆盖网络上的每个Docker主机必须向其对等方开放适当的端口才能看到，并且在无群模式下， 每个节点都需要访问某种键值存储 。
另请注意，默认情况下，覆盖网络仅允许256个不同的IP地址。 您可以提高此限制，但是Docker建议改为使用多个覆盖。
Docker网络：主机网络
host网络驱动程序使容器的网络堆栈与主机上的堆栈并排运行。 host联网容器中端口80上的Web服务器可从主机本身的端口80获得。
主机网络最大的好处就是速度。 如果您需要授予容器端口访问权限，并且希望使其与基础操作系统尽可能接近，这是可行的方法。 但这是以灵活性为代价的：如果将端口80映射到一个容器，则其他任何容器都不能在该主机上使用它。
Docker网络：Macvlan网络
Macvlan网络用于直接与基础物理网络配合使用的应用程序，例如网络流量监控应用程序。 macvlan驱动程序不仅将IP地址分配给容器，而且还分配物理MAC地址。
请注意，如果您正在使用VM创建虚拟MAC地址，则这种类型的Docker网络附带了许多相同的警告。 简而言之，Macvlan应该仅保留给无法运行的应用程序，除非它们依赖于物理网络地址。
Docker网络：创建和管理网络
Docker中的所有网络管理均使用docker network命令完成。 它的许多子命令与其他Docker命令相似； 例如， docker network ls显示当前Docker实例上的所有已配置网络：
$ docker network ls NETWORK ID NAME DRIVER SCOPE 2e0adaa0ce4a bridge bridge local 0de3da43b973 host host local 724a28c6d86d none null local
要创建网络，请使用create子命令以及--driver标志来指示要使用的驱动程序（ bridge, overlay, macvlan ）：
$ docker network create --driver bridge my-bridge
主机联网容器不需要为其创建网络。 而是使用--network host标志启动容器。 容器上的所有进程都在其预先配置的端口上侦听，因此请确保先进行设置。
创建网络的选项还包括指定其子网，IP地址范围和网络网关，这与使用其他方式创建网络的情况非常相似。
默认情况下，容器在bridge网络上运行。 要使用特定的网络，只需在启动容器时使用--network标志并指定网络名称即可。
您还可以将正在运行的容器与网络配对：
$ docker network connect bridge my_container
这my_container附加到bridge网络，同时保留它已经具有的任何现有网络连接。
旋转容器后，与之关联的所有网络均保持不变。 如果要手动删除网络，则可以使用docket network rm <network_name>命令执行此操作，或者使用docker network prune删除主机上不再使用的所有网络。
Docker网络和Kubernetes网络
如果您将Kubernetes作为业务流程解决方案，但已经在Docker网络设置中投入了大量工作，那么您将不会听到Docker和Kubernetes处理网络之间存在一对一的对应关系而感到兴奋。
Kubernetes文档中描述了详细信息，但简短的版本是它们在分配和管理网络资源方面具有根本不同的模型。 因此，您需要为您的应用程序设计特定于Kubernetes的网络设置。
一种可能的半途而废的方法是使用可与Docker自己的网络控件配合使用的Kubernetes容器网络接口（CNI）插件 。 但这只是一个临时解决方案。 在某个时候，您需要从内而外使用其自己的网络隐喻来构建Kubernetes项目。
From: https://www.infoworld.com/article/3276604/docker-tutorial-get-started-with-docker-networking.html