容器网络隔离与通信配置

题目

容器网络隔离与通信配置

信息

• 类型：问答
• 难度：⭐⭐

考点

容器网络模型, Docker网络配置, 网络安全策略

快速回答

在Docker中实现容器间安全通信的关键步骤：

• 创建自定义桥接网络：docker network create secure-net
• 启动容器时指定网络：docker run --network secure-net --name app1 ...
• 验证连通性：docker exec app1 ping app2
• 限制外部访问：默认隔离外部网络，需显式暴露端口
• 应用网络安全组策略：通过防火墙规则控制流量

问题场景

某微服务应用包含前端（frontend）和后端（backend）两个容器，要求：
1. 两容器可通过容器名直接通信
2. 前端可被外部访问（端口80）
3. 后端禁止外部直接访问
4. 使用安全隔离的网络环境

解决方案

1. 创建自定义桥接网络

# 创建隔离网络并启用加密传输
docker network create --driver bridge \
  --subnet 172.28.0.0/16 \
  --opt com.docker.network.bridge.enable_icc=true \
  --opt com.docker.network.driver.mtu=1500 \
  secure-app-net

原理说明：自定义桥接网络提供：
- DNS自动解析（容器名→IP）
- 隔离的网段（与默认网桥分离）
- 内部容器互通（ICC=true）但隔离外部

2. 部署容器

# 启动后端容器（仅内部访问）
docker run -d --name backend \
  --network secure-app-net \
  -e "APP_PORT=3000" \
  backend-image

# 启动前端容器（暴露80端口）
docker run -d --name frontend \
  --network secure-app-net \
  -p 80:8080 \  # 映射宿主机端口
  frontend-image

网络行为验证：
- 前端访问后端：docker exec frontend curl http://backend:3000 成功
- 外部直接访问后端：curl http://宿主机IP:3000 失败（端口未暴露）

3. 网络安全加固

# 添加Docker守护进程防火墙规则
sudo ufw allow proto tcp from any to any port 80
sudo ufw deny 3000/tcp  # 显式拒绝后端端口

最佳实践

• 网络分段：不同安全等级的容器划分到不同子网
• 最小暴露原则：仅暴露必要端口
• 加密传输：生产环境启用--opt encrypted
• 网络策略：Kubernetes中配合NetworkPolicy实现精细控制

常见错误

• 错误1：使用--link（已废弃）替代DNS解析
• 错误2：误用host网络模式破坏隔离性
• 错误3：未限制默认网桥（docker0）的容器互通

扩展知识

• CNI规范：Kubernetes通过CNI插件（Calico/Flannel）实现高级网络策略
• 服务网格：Istio/Linkerd在应用层提供mTLS加密通信
• 网络诊断：docker network inspect secure-app-net查看网络详情