编辑“︁Docker网络故障排查”︁（章节）

= Docker网络故障排查 =

Docker网络是容器化环境中一个关键组件，它允许容器之间以及容器与外部系统进行通信。然而，网络配置问题可能导致连接失败、性能下降或其他异常行为。本文将详细介绍如何诊断和解决常见的Docker网络问题，适用于初学者和高级用户。

== 1. 常见Docker网络问题 ==
Docker网络故障通常表现为以下几种情况：
* 容器无法访问外部网络（如互联网）
* 容器之间无法通信
* 主机无法访问容器服务
* 端口绑定冲突
* DNS解析失败

== 2. 基础排查工具 ==

=== 2.1 检查网络配置 ===
使用<code>docker network inspect</code>查看网络详细信息：

<syntaxhighlight lang="bash">
# 列出所有网络
docker network ls

# 检查特定网络（如bridge网络）
docker network inspect bridge
</syntaxhighlight>

输出示例：
<syntaxhighlight lang="json">
[
    {
        "Name": "bridge",
        "Id": "f4a8b7c...",
        "Created": "2023-10-01T12:00:00Z",
        "Scope": "local",
        "Driver": "bridge",
        "IPAM": {
            "Driver": "default",
            "Config": [
                {
                    "Subnet": "172.17.0.0/16",
                    "Gateway": "172.17.0.1"
                }
            ]
        }
    }
]
</syntaxhighlight>

=== 2.2 容器网络诊断 ===
进入容器内部检查网络配置：

<syntaxhighlight lang="bash">
# 进入容器shell
docker exec -it my_container sh

# 检查IP地址
ip addr show

# 测试外部连接
ping 8.8.8.8
</syntaxhighlight>

== 3. 高级排查技术 ==

=== 3.1 iptables规则检查 ===
Docker使用iptables管理网络流量：

<syntaxhighlight lang="bash">
sudo iptables -L -n -v
sudo iptables -t nat -L -n -v
</syntaxhighlight>

=== 3.2 网络命名空间检查 ===
Docker为每个网络创建独立的命名空间：

<syntaxhighlight lang="bash">
# 列出所有网络命名空间
ls /var/run/docker/netns/

# 使用nsenter检查命名空间
nsenter --net=/var/run/docker/netns/<namespace-id> ip addr
</syntaxhighlight>

== 4. 常见问题解决方案 ==

=== 4.1 容器无法访问外部网络 ===
可能原因：
* 主机防火墙阻止
* Docker守护进程配置问题
* 错误的网络驱动

解决方案：
1. 检查主机防火墙规则
2. 验证Docker守护进程的<code>--iptables</code>设置
3. 尝试使用<code>--network=host</code>测试

=== 4.2 容器间通信失败 ===
可能原因：
* 不在同一网络
* 安全组/ACL限制
* 应用未监听正确接口

解决方案：
1. 确保容器使用相同网络：
   <syntaxhighlight lang="bash">
   docker network create my_network
   docker run --network=my_network container1
   docker run --network=my_network container2
   </syntaxhighlight>
2. 检查应用绑定到<code>0.0.0.0</code>而非<code>127.0.0.1</code>

=== 4.3 端口冲突 ===
当多个容器尝试绑定相同主机端口时发生：

<syntaxhighlight lang="bash">
# 查找占用端口的进程
sudo netstat -tulnp | grep 8080

# 解决方案：修改容器端口映射
docker run -p 8081:80 my_image
</syntaxhighlight>

== 5. 实际案例 ==

=== 案例1：DNS解析失败 ===
'''现象'''：容器内无法解析域名但能ping通IP

'''诊断步骤'''：
1. 检查<code>/etc/resolv.conf</code>：
   <syntaxhighlight lang="bash">
   docker exec -it my_container cat /etc/resolv.conf
   </syntaxhighlight>
2. 验证DNS服务器可达性

'''解决方案'''：
* 自定义DNS设置：
  <syntaxhighlight lang="bash">
  docker run --dns=8.8.8.8 my_image
  </syntaxhighlight>
* 或修改Docker守护进程配置：
  <syntaxhighlight lang="json">
  {
    "dns": ["8.8.8.8", "1.1.1.1"]
  }
  </syntaxhighlight>

=== 案例2：跨主机容器通信 ===
使用overlay网络时跨主机通信问题：

<mermaid>
graph TD
    HostA[Host A] -->|Overlay Network| HostB[Host B]
    ContainerA1[Container A1] -->|bridge| HostA
    ContainerB1[Container B1] -->|bridge| HostB
</mermaid>

'''解决方案'''：
1. 确保正确配置Swarm模式或Consul等发现服务
2. 检查防火墙允许以下端口：
   * TCP/UDP 7946（容器网络发现）
   * UDP 4789（VXLAN数据流量）

== 6. 网络拓扑分析 ==
理解Docker默认bridge网络架构：

<mermaid>
graph LR
    Host[Host Machine] -->|eth0| Internet
    Host --> docker0[Docker Bridge]
    docker0 --> Container1[Container1: eth0@if123]
    docker0 --> Container2[Container2: eth0@if124]
</mermaid>

关键组件：
* <code>docker0</code>：默认虚拟网桥
* <code>veth</code>：虚拟以太网设备对
* <code>iptables</code>：NAT和过滤规则

== 7. 性能问题排查 ==
当遇到网络延迟或吞吐量问题时：

1. 使用<code>docker stats</code>监控容器资源
2. 测试基础网络性能：
   <syntaxhighlight lang="bash">
   # 容器内安装iperf
   apt-get update && apt-get install -y iperf

   # 服务端
   iperf -s

   # 客户端
   iperf -c <server_ip>
   </syntaxhighlight>
3. 考虑使用<code>--network=host</code>进行基准测试

== 8. 总结 ==
Docker网络故障排查需要系统性地检查：
* 容器网络配置
* 主机网络设置
* iptables/NAT规则
* DNS解析
* 物理网络基础设施

通过结合基础命令和高级工具，可以有效地诊断和解决大多数Docker网络问题。对于复杂环境，建议使用专业的网络监控工具如Wireshark或tcpdump进行深度包分析。

[[Category:集成部署]]
[[Category:Docker]]
[[Category:Docker网络]]