Docker Macvlan網(wǎng)絡(luò)驅(qū)動(dòng)使用詳解

能夠?qū)⑷萜骰瘧?yīng)用連接到外部系統(tǒng)以及物理網(wǎng)絡(luò)的能力是非常必要的。常見的例子是部分容器化的應(yīng)用——應(yīng)用中已容器化的部分需要與那些運(yùn)行在物理網(wǎng)絡(luò)和 VLAN 上的未容器化部分進(jìn)行通信。

Docker 內(nèi)置的 Macvlan 驅(qū)動(dòng)(Windows 上是 Transparent)就是為此場景而生。通過為容器提供 MAC 和 IP 地址，讓容器在物理網(wǎng)絡(luò)上成為“一等公民”。下圖展示了具體內(nèi)容。

Macvlan 的優(yōu)點(diǎn)是性能優(yōu)異，因?yàn)闊o須端口映射或者額外橋接，可以直接通過主機(jī)接口(或者子接口)訪問容器接口。但是，Macvlan 的缺點(diǎn)是需要將主機(jī)網(wǎng)卡(NIC)設(shè)置為混雜模式(Promiscuous Mode)，這在大部分公有云平臺(tái)上是不允許的。

所以 Macvlan 對(duì)于公司內(nèi)部的數(shù)據(jù)中心網(wǎng)絡(luò)來說很棒(假設(shè)公司網(wǎng)絡(luò)組能接受 NIC 設(shè)置為混雜模式)，但是 Macvlan 在公有云上并不可行。

接下來通過圖片和一個(gè)假想場景加深對(duì) Macvlan 的理解。

假設(shè)有一個(gè)物理網(wǎng)絡(luò)，其上配置了兩個(gè) VLAN——VLAN 100：10.0.0.0/24 和 VLAN 200：192.168.3.0/24，如下圖所示。

接下來，添加一個(gè) Docker 主機(jī)并連接到該網(wǎng)絡(luò)，如下圖所示。

有一個(gè)需求是將容器接入 VLAN 100。為了實(shí)現(xiàn)該需求，首先使用 Macvlan 驅(qū)動(dòng)創(chuàng)建新的 Docker 網(wǎng)絡(luò)。但是，Macvlan 驅(qū)動(dòng)在連接到目標(biāo)網(wǎng)絡(luò)前，需要設(shè)置幾個(gè)參數(shù)。比如以下幾點(diǎn)。

? 子網(wǎng)信息。

? 網(wǎng)關(guān)。

? 可分配給容器的IP范圍。

? 主機(jī)使用的接口或者子接口。

下面的命令會(huì)創(chuàng)建一個(gè)名為 macvlan100 的 Macvlan 網(wǎng)絡(luò)，該網(wǎng)絡(luò)會(huì)連接到 VLAN 100。

$ docker network create -d macvlan \
--subnet=10.0.0.0/24 \
--ip-range=10.0.00/25 \
--gateway=10.0.0.1 \
-o parent=eth0.100 \
macvlan100

該命令會(huì)創(chuàng)建 macvlan100 網(wǎng)絡(luò)以及 eth0.100 子接口。當(dāng)前配置如下圖所示。

Macvlan 采用標(biāo)準(zhǔn) Linux 子接口，需要為其打上目標(biāo) VLAN 網(wǎng)絡(luò)對(duì)應(yīng)的 ID。在本例中目標(biāo)網(wǎng)絡(luò)是 VLAN 100，所以將子接口標(biāo)記為 .100(etho.100)。

通過 --ip-range 參數(shù)告知 Macvlan 網(wǎng)絡(luò)在子網(wǎng)中有哪些 IP 地址可以分配給容器。這些地址必須被保留，不能用于其他節(jié)點(diǎn)或者 DHCP 服務(wù)器，因?yàn)闆]有任何管理層功能來檢查 IP 區(qū)域重合的問題。

macvlan100 網(wǎng)絡(luò)已為容器準(zhǔn)備就緒，執(zhí)行以下命令將容器部署到該網(wǎng)絡(luò)中。

$ docker container run -d --name mactainer1 \
--network macvlan100 \
alpine sleep 1d

當(dāng)前配置如下圖所示。但是切記，下層網(wǎng)絡(luò)(VLAN 100)對(duì) Macvlan 的魔法毫不知情，只能看到容器的 MAC 和 IP 地址。在該基礎(chǔ)之上，mactainer1 容器可以 ping 通任何加入 VLAN 100 的系統(tǒng)，并進(jìn)行通信。

注意：如果上述命令不能執(zhí)行，可能是因?yàn)橹鳈C(jī) NIC 不支持混雜模式。切記公有云平臺(tái)不允許混雜模式。

目前已經(jīng)擁有了 Macvlan 網(wǎng)絡(luò)，并有一臺(tái)容器通過 Macvlan 接入了現(xiàn)有的 VLAN 當(dāng)中。但是，這并不是結(jié)束。Docker Macvlan 驅(qū)動(dòng)基于穩(wěn)定可靠的同名 Linux內(nèi)核驅(qū)動(dòng)構(gòu)建而成。

因此，Macvlan 也支持 VLAN 的 Trunk 功能。這意味著可以在相同的 Docker 主機(jī)上創(chuàng)建多個(gè) Macvlan 網(wǎng)絡(luò)，并且將容器按照下圖的方式連接起來。

以上內(nèi)容基本能涵蓋 Macvlan。Windows 也提供了類似的解決方案 Transparent 驅(qū)動(dòng)。

用于故障排除的容器和服務(wù)日志

當(dāng)認(rèn)為遇到容器間網(wǎng)絡(luò)連接問題時(shí)，檢查 daemon 日志以及容器日志(應(yīng)用日志)是非常有必要的。

在 Windows 上，daemon 日志存儲(chǔ)在 ∼AppData\Local\Docker，可以通過 Windows 事件查看器來瀏覽。在 Linux 上，daemon 日志的存儲(chǔ)位置取決于當(dāng)前系統(tǒng)正在使用的初始化方式。

如果是 Systemd，日志會(huì)存儲(chǔ)在 Journald，并且可以通過journalctl -u docker.service 命令查看;如果不是 Systemd 讀者需要查看如下位置。

? Ubuntu 系統(tǒng)：upstart:/var/log/upstart/docker.log。

? RHEL 系列：systems:/var/log/messages。

? Debian：/var/log/daemon.log。

? Mac 版 Docker：∼/Library/Containers/com.docker.docker/Data/com. docker.driver.amd64-linux/console-ring。

還可以設(shè)置 daemon 日志的詳細(xì)程度。可以通過編輯 daemon 配置文件(daemon.json)，將 debug 設(shè)置為 true，并同時(shí)設(shè)置 log-level 為下面的某個(gè)值。

? debug：最詳細(xì)的日志級(jí)別。

? info：默認(rèn)值，次詳細(xì)日志級(jí)別。

? warn：第三詳細(xì)日志級(jí)別。

? error：第四詳細(xì)日志級(jí)別。

? fatal：最粗略的日志級(jí)別。

下面的片段摘自 daemon.json，其中開啟了調(diào)試模式，并設(shè)置日志級(jí)別為 debug。該配置在所有 Docker 平臺(tái)均有效。

{
    <Snip>
    "debug":true,
    "log-level":"debug",
    <Snip>
}

修改配置文件之后，需要重啟 Docker 才會(huì)生效。這就是 daemon 日志了。容器日志又是什么?

可以通過 docker container logs 命令查看單獨(dú)的容器日志，通過 docker service logs 可以查看 Swarm 服務(wù)日志。但是，Docker 支持多種日志驅(qū)動(dòng)，并不是每種都能通過 docker logs 命令查看的。

就像引擎日志的驅(qū)動(dòng)和配置一樣，每個(gè) Docker 主機(jī)也為容器提供了默認(rèn)的日志驅(qū)動(dòng)以及配置。其中包括 json-file(默認(rèn))、journald(只在運(yùn)行 systemd 的 Linux 主機(jī)中生效)、syslog、splunk 和 gelf。

json-file 和 journald 可能是較容易配置的，并且均可通過 doker logs 和 docker service logs 命令查看。具體命令格式為：

docker logs <container-name> 和 docker service logs <service-name>

如果采用了其他日志驅(qū)動(dòng)，可以通過第三方平臺(tái)提供的原生工具進(jìn)行查看。

下面的片段為 daemon.json 文件的一部分，展示如何配置 Docker 主機(jī)使用 syslog 方式。

{
    "log-driver": "syslog"
}

可以為某個(gè)容器或者服務(wù)配置單獨(dú)的日志策略，只需在啟動(dòng)的時(shí)候通過 --log- driver 和 --log-opts 指定特定的日志驅(qū)動(dòng)即可。這樣會(huì)覆蓋掉 daemon.json 中的配置。

容器日志生效的前提是應(yīng)用進(jìn)程在容器內(nèi)部 PID 為 1，并且將正常日志輸出到 STDOUT，將異常日志輸出到 STDERR。日志驅(qū)動(dòng)就會(huì)將這些“日志”轉(zhuǎn)發(fā)到日志驅(qū)動(dòng)配置指定的位置。

如果應(yīng)用日志是寫到某個(gè)文件的，可以利用符號(hào)鏈接將日志文件重定向到 STDOUT 和 STDERR。

下面的例子展示了通過運(yùn)行 docker logs 命令查看某個(gè)使用 json-file 日志驅(qū)動(dòng)，并且名為 vantage-db 容器的日志。

$ docker logs vantage-db
1:C 2 Feb 09:53:22.903 # oO0OoO0OoO0Oo Redis is starting oO0OoO0OoO0Oo
1:C 2 Feb 09:53:22.904 # Redis version=4.0.6, bits=64, commit=00000000, modi\
fied=0, pid=1
1:C 2 Feb 09:53:22.904 # Warning: no config file specified, using the defaul\
t config.
1:M 2 Feb 09:53:22.906 * Running mode=standalone, port=6379.
1:M 2 Feb 09:53:22.906 # WARNING: The TCP backlog setting of 511 cannot be e\
nforced because...
1:M 2 Feb 09:53:22.906 # Server initialized
1:M 2 Feb 09:53:22.906 # WARNING overcommit_memory is set to 0!

通常是很有可能在 daemon 日志或者容器日志中找到網(wǎng)絡(luò)連接相關(guān)異常的。