Docker网络模式详解：bridge、host与none
bridge 模式：默认的容器网络
当未指定网络模式时，Docker 默认使用 bridge 网络。该模式通过虚拟网桥 docker0 实现容器间的通信。
[root@localhost ~]# docker run -d --name test_bridge busybox /bin/sh -c "while true; do sleep 3600; done"
查看当前可用网络：
[root@localhost ~]# docker network ls
NETWORK ID NAME DRIVER SCOPE
fa30a4d17b5b bridge bridge local
a03aaca35833 host host local
d85c50eb947c none null local
检查 bridge 网络详情，可发现容器分配了私有 IP 地址：
[root@localhost ~]# docker network inspect bridge
...
"Containers": {
"abc123def456...": {
"Name": "test_bridge",
"IPv4Address": "172.17.0.2/16"
}
}
...
宿主机上会创建一对 veth 接口，一端连接容器，另一端接入 docker0 网桥：
[root@localhost ~]# ip a | grep -E "veth|docker0"
111: vethxyz@if110: <BROADCAST,MULTICAST,UP,LOWER_UP> ...
link/ether 7e:59:81:8b:54:a2 brd ff:ff:ff:ff:ff:ff master docker0
3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> ...
inet 172.17.0.1/16 scope global docker0
验证网桥连接情况：
[root@localhost ~]# brctl show
bridge name bridge id interfaces
docker0 8000.024223c091f9 vethxyz
多个容器共用同一网桥，彼此可通过私有子网通信，类似交换机行为。
host 模式：直接共享宿主机网络栈
启用 host 网络后，容器将直接使用宿主机的网络接口和端口，无独立网络命名空间。
[root@localhost ~]# docker run -d --network host --name host_test centos /usr/sbin/init
查看其网络信息，发现没有分配 MAC 与 IP：
[root@localhost ~]# docker network inspect host
...
"Containers": {
"xyz789...": {
"Name": "host_test",
"MacAddress": "",
"IPv4Address": ""
}
}
...
进入容器后，执行网络命令可观察到其完全继承宿主机的网络配置：
[root@localhost ~]# docker exec -it host_test /bin/bash
[root@localhost /]# yum install -y net-tools
[root@localhost /]# ifconfig
eth0: flags=4163<UP,LOWER_UP,RUNNING,MULTICAST> mtu 1500 ...
inet 172.16.150.135 netmask 255.255.255.0 ...
在容器中启动 Web 服务后，宿主机上同样监听对应端口：
[root@localhost ~]# systemctl start httpd
[root@localhost ~]# netstat -tnlp | grep :80
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1234/httpd
关键特性：
- 容器直接暴露端口，无需端口映射。
- 无法使用
-p或-P参数，系统会提示警告。 - 性能高，但牺牲了网络隔离性，安全性较低。
- 适合对延迟敏感或需直连公网的应用。
none 模式：完全隔离的网络环境
设置为 none 后，容器不配置任何网络接口，仅保留回环设备。
[root@localhost ~]# docker run -d --network none --name isolated_container busybox /bin/sh -c "while true; do sleep 36000; done"
检查其网络状态，确认无任何地址分配：
[root@localhost ~]# docker network inspect none
...
"Containers": {
"def456...": {
"Name": "isolated_container",
"MacAddress": "",
"IPv4Address": ""
}
}
...
进入容器后，仅存在回环接口：
[root@localhost ~]# docker exec -it isolated_container /bin/sh
/ # ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
inet 127.0.0.1/8 scope host lo
适用场景：
- 需要彻底断开网络连接的容器。
- 自定义网络配置（如手动添加 IP、路由规则）。
- 安全要求极高的隔离环境。
