CentOS 7中Docker容器通过网桥无法访问外网怎么办？

在CentOS 7系统中，Docker作为主流的容器化技术，其网络模型是容器通信和与外部世界交互的核心，在Docker提供的多种网络模式中，网桥模式是最基础、也是默认使用的模式，深入理解Docker网桥在CentOS 7上的工作原理、配置方式以及管理方法，对于构建稳定、高效、安全的容器化应用环境至关重要。

Docker网桥的工作原理

Docker网桥本质上是一个虚拟的二层网络设备,其行为类似于物理网络中的交换机，当Docker守护进程在CentOS 7上启动时，它会自动创建一个名为docker0的虚拟网桥，这个网桥拥有一个来自私有地址段（通常是172.17.0.0/16）的IP地址，作为该网络的默认网关。

每当创建一个新的容器时,Docker会执行以下操作：

1. 创建一对虚拟网络接口（veth pair），可以想象成一个管道的两端。
2. 将其中一端（vethxxx）附着到主机上的docker0网桥上。
3. 将另一端（eth0）放入容器的网络命名空间中，并配置一个来自docker0子网的IP地址。

通过这种方式,所有连接到docker0的容器都处于同一个虚拟局域网内，它们之间可以通过IP地址直接通信，当容器需要访问外部网络时，其流量会通过eth0发送到veth pair的另一端，然后到达docker0网桥，最后通过主机上的iptables规则进行网络地址转换（NAT），借助主机的物理网卡（如ens33或eno16777736）访问外部网络。

查看CentOS 7中的默认网桥

在CentOS 7上，我们可以使用一些标准命令来检查和管理Docker的默认网桥，确保已安装Docker并启动服务。

使用ip addr命令可以查看docker0网桥的详细信息：

ip addr show docker0

输出结果类似于：

4: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default
    link/ether 02:42:a5:7e:8d:6c brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
    inet6 fe80::42:a5ff:fe7e:8d6c/64 scope link
       valid_lft forever preferred_lft forever

这里可以看到docker0的MAC地址、其自身的IP地址（172.17.0.1）以及子网掩码（/16），这表明了它的网关角色和管辖的子网范围。

要查看哪些容器的虚拟接口连接到了docker0，可以使用brctl（bridge-utils）工具，如果未安装，可以通过yum install bridge-utils进行安装。

brctl show docker0

输出会列出所有与此网桥相连的接口,当有容器运行时，你会看到类似vethxxxx的接口出现在列表中。

自定义Docker网桥

虽然默认网桥工作良好,但在生产环境中，创建自定义网桥网络是更佳实践，自定义网络提供了更好的隔离性、内置DNS解析以及更灵活的配置能力。

创建一个自定义网桥网络非常简单：

docker network create --driver bridge my-custom-network

这个命令会创建一个新的网桥,其名称由Docker自动生成（如br-xxxxx），并使用一个与默认网络不同的私有子网。

在运行容器时,可以通过--network参数指定将其连接到自定义网络：

docker run -it --name container1 --network my-custom-network centos /bin/bash
docker run -it --name container2 --network my-custom-network centos /bin/bash

连接到同一个自定义网络的所有容器,可以通过容器名直接进行通信，而无需知道对方的IP地址，这是因为Docker内置的DNS服务器会自动解析容器名称。

下表对比了默认网桥和自定义网 bridge的核心区别：

特性	默认网桥	自定义网桥
隔离性	所有未指定网络的容器都在此，隔离性差	提供应用层面的网络隔离，逻辑清晰
DNS解析	默认不支持通过容器名通信（除非使用–link）	内置DNS，支持通过容器名自动发现
配置灵活性	修改需重启Docker守护进程，影响全局	创建时可指定子网、网关等，不影响其他网络
容器间通信	早期需要–link，现已不推荐	无需额外配置，同一网络内自由通信

高级配置与故障排查

管理员可能需要修改docker0的默认配置，例如其子网范围或MTU，这可以通过编辑/etc/docker/daemon.json文件（如果不存在则创建）来实现，要将默认网桥的IP地址设置为168.100.1/24：

{
  "bip": "192.168.100.1/24",
  "mtu": 1500
}

修改保存后,需要重启Docker服务以使配置生效：systemctl restart docker。

在排查网络问题时,以下步骤通常很有帮助：

1. 检查容器内部网络：docker exec -it <container_name> ip addr，查看容器IP是否正确。
2. 测试网关连通性：在容器内ping <docker0_ip>，确认与网关的连接。
3. 测试外部网络：在容器内ping 8.8.8.8，确认NAT和主机外网连接正常。
4. 检查iptables规则：在CentOS 7主机上，使用iptables -t nat -L -n -v查看Docker添加的POSTROUTING和DNAT规则是否正确。

通过以上深入理解和实践操作,用户可以充分利用Docker网桥的强大功能，在CentOS 7上构建出符合各种需求的容器网络架构。

---

相关问答FAQs

问题1：为什么我的容器之间无法通过名称互相ping通，但使用IP地址却可以？

解答： 这种情况通常发生在使用Docker默认的docker0网桥时，默认网桥不提供内置的DNS服务来解析容器名称，容器之间只能通过IP地址进行通信，解决方案是创建一个自定义的桥接网络（使用docker network create命令），然后将需要相互通信的容器都连接到这个自定义网络，自定义网络提供了自动的服务发现功能，允许容器直接通过名称进行访问。

问题2：如何修改Docker默认网桥docker0的IP地址范围，以避免与我公司内部网络冲突？

解答： 您可以通过编辑Docker守护进程的配置文件来修改默认网桥的IP地址，创建或编辑/etc/docker/daemon.json文件，添加或修改"bip"（Bridge IP）键值对，要将默认网桥的子网改为20.0.0/16，并指定网关为20.0.1，可以配置如下：

{
  "bip": "10.20.0.1/16"
}

保存文件后,必须重启Docker服务才能使更改生效，执行命令sudo systemctl restart docker，这样，之后创建的未指定网络的容器将会从新的20.0.0/16地址段获取IP地址。