Das Netzwerk von Docker. Java Stammtisch Goettingen

Transkript

1 Das Netzwerk von Docker

2 ist work in progress

3 Ausgangslage Linux System (Netz bei Windows und MAC anders) Ein Ethernet-Interface mit oeffentlicher Adresse enp4s0 Ethernet Hwaddr c8:60:00:88:70:55 inet addr: Bcast: Mask:

4 Die Docker Bridge Docker legt eine bridge an: docker0 eine Bridge ist wie ein virtueller Hub alle angeschlossenen Interfaces sehen alle Ethernetpakete mit privater Adresse (Class B Netz) docker0 HWaddr 02:42:10:e2:6e:1a inet addr: Bcast: Mask:

5 Die virtuellen Interfaces pro Container wird ein virtuelles Ethernet- Interface an die Bridge angeschlossen : veth4f37176 Ethernet HWaddr 86:ac:44:24:7a:46 IP-adresse mit ip bzw. ifconfig nicht sichtbar ist aber aus dem /16-Netz Routing ist zwischen Bridge und realen Interface ist eingeschaltet: 1 in /proc/sys/net/ipv4/ip_forward

6 Das NAT-Netzwerk Jeder Container bekommt eine private IP- Adresse aus /16 iptables realisiert das NAT-Netzwerk unter Linux

7 iptables das Wichtigste Firewall von Linux Es gibt tables, chains und rules Eine table enthaelt mehrere chains Die chains enthalten die rules

8 ip Pakete enthalten folgende Informationen source ip-adresse und TCP/UDP Port destination ip-adresse und TCP/UDP Port haben aus der Sicht von iptables einen connection state (cstate): NEW, ESTABLISHED, RELATED, INVALID

9 Targets Die iptables rule legt an Hand der Informationen im ip-paket fest, was mit dem Paket passiert. Das springt (jump) zu einem Ziel (target) zulaessige targets sind: ACCEPT, DROP, RETURN,DNAT,MASQUERADE oder eine selbstdefinierte chain

10 vordefinierte tables & chains filter INPUT (destination Adresse ist eine IP-Adresse der Firewall) OUTPUT (source Adresse ist eine IP-Adresse der Firewall) FORWARD (source und destination keine IP-Adresse der Firewall) nat PREROUTING (routing Entscheidung) INPUT OUTPUT POSTROUTING (Adressen umschreiben)

11 iptables (filter table) iptables L chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy DROP) target prot opt source destination DOCKER ISOLATION all anywhere anywhere ACCEPT all anywhere anywhere ctstate RELATED,ESTABLISHED DOCKER all anywhere anywhere ACCEPT all anywhere anywhere Chain OUTPUT (policy ACCEPT) target prot opt source destination

12 docker chains Chain DOCKER (1 references) target prot opt source destination ACCEPT tcp anywhere tcp dpt:http Chain DOCKER ISOLATION (1 references) target prot opt source destination RETURN all anywhere anywhere

13 iptables NAT-Tabelle iptables L t nat Chain PREROUTING (policy ACCEPT) target prot opt source destination DOCKER all anywhere anywhere ADDRTYPE match dst type LOCAL Chain INPUT (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) DOCKER all anywhere!loopback/8 ADDRTYPE match dst type LOCAL Chain POSTROUTING (policy ACCEPT) MASQUERADE all /16 anywhere MASQUERADE tcp tcp dpt:http Chain DOCKER (2 references) RETURN all anywhere anywhere DNAT tcp anywhere anywhere tcp dpt:http to: :80

14 docker-proxy docker-proxy -proto tcp -host-ip host-port 80 -container-ip container-port 80 Portforwarding aller Pakete, die am Host an einem Port ankommen zu diesem Port eines Containers, wenn sie nicht von iptables behandelt werden koennen Pakete an /8 werden nicht geroutet => Die Weitergabe uebernimmt docker-proxy

15 docker expose docker run --name miwww --expose 80 Kann auch im Dockerfile benutzt werden EXPOSE Eigentlich nur informativ

16 docker publish docker run --name miname --publish 53:53/udp --publish 53:53/tcp Stellt Port wirklich zur Verfuegung startet docker-proxy erstellt die iptables rules

17 docker network inspect docker network inspect bridge "Name": "bridge", "Id": "b2c3b8a497065dfbbc799da87b2ea24125eaabdd9c17dcf5db5a357766ca6e46", "Created": " T11:32: :00", "Scope": "local", "Driver": "bridge", "EnableIPv6": false, "IPAM": { "Driver": "default", "Options": null, "Config": [ { "Subnet": " /16", "Gateway": " " }

18 container mit fester Adresse Beim Start container: ip a add ip-adresse/netmask dev device ip a eth0: link/ether c8:60:00:88:71:ae brd ff:ff:ff:ff:ff:ff inet /24 brd scope global eth0 inet /24 scope global secondary eth0 inet /24 scope global secondary eth0 inet /24 scope global secondary eth0 inet /24 scope global secondary eth0 Beim Stop container: ip a del ip-adresse/netmask dev device

19 Ports Jeder Port auf einem Docker Host ist nur einmal verfuegbar Zu erforschen: vielleicht mit den richtigen rules stimmt diese Aussage nicht mehr

20 Inside in /etc/hosts steht die IP-Adresse /etc/resolv.conf vom Host normalerweise keine net-tools

21 Was fehlt User-defined networks Overlay networks in swarm mode Overlay network without swarm mode

22 Links