Docker Macvlan網絡驅動使用詳解

能夠將容器化應用連接到外部系統以及物理網絡的能力是非常必要的。常見的例子是部分容器化的應用——應用中已容器化的部分需要與那些運行在物理網絡和 VLAN 上的未容器化部分進行通信。

Docker 內置的 Macvlan 驅動(Windows 上是 Transparent)就是為此場景而生。通過為容器提供 MAC 和 IP 地址，讓容器在物理網絡上成為“一等公民”。下圖展示了具體內容。

Macvlan 的優點是性能優異，因為無須端口映射或者額外橋接，可以直接通過主機接口(或者子接口)訪問容器接口。但是，Macvlan 的缺點是需要將主機網卡(NIC)設置為混雜模式(Promiscuous Mode)，這在大部分公有云平臺上是不允許的。

所以 Macvlan 對于公司內部的數據中心網絡來說很棒(假設公司網絡組能接受 NIC 設置為混雜模式)，但是 Macvlan 在公有云上并不可行。

接下來通過圖片和一個假想場景加深對 Macvlan 的理解。

假設有一個物理網絡，其上配置了兩個 VLAN——VLAN 100：10.0.0.0/24 和 VLAN 200：192.168.3.0/24，如下圖所示。

接下來，添加一個 Docker 主機并連接到該網絡，如下圖所示。

有一個需求是將容器接入 VLAN 100。為了實現該需求，首先使用 Macvlan 驅動創建新的 Docker 網絡。但是，Macvlan 驅動在連接到目標網絡前，需要設置幾個參數。比如以下幾點。

? 子網信息。

? 網關。

? 可分配給容器的IP范圍。

? 主機使用的接口或者子接口。

下面的命令會創建一個名為 macvlan100 的 Macvlan 網絡，該網絡會連接到 VLAN 100。

$ docker network create -d macvlan \
--subnet=10.0.0.0/24 \
--ip-range=10.0.00/25 \
--gateway=10.0.0.1 \
-o parent=eth0.100 \
macvlan100

該命令會創建 macvlan100 網絡以及 eth0.100 子接口。當前配置如下圖所示。

Macvlan 采用標準 Linux 子接口，需要為其打上目標 VLAN 網絡對應的 ID。在本例中目標網絡是 VLAN 100，所以將子接口標記為 .100(etho.100)。

通過 --ip-range 參數告知 Macvlan 網絡在子網中有哪些 IP 地址可以分配給容器。這些地址必須被保留，不能用于其他節點或者 DHCP 服務器，因為沒有任何管理層功能來檢查 IP 區域重合的問題。

macvlan100 網絡已為容器準備就緒，執行以下命令將容器部署到該網絡中。

$ docker container run -d --name mactainer1 \
--network macvlan100 \
alpine sleep 1d

當前配置如下圖所示。但是切記，下層網絡(VLAN 100)對 Macvlan 的魔法毫不知情，只能看到容器的 MAC 和 IP 地址。在該基礎之上，mactainer1 容器可以 ping 通任何加入 VLAN 100 的系統，并進行通信。

注意：如果上述命令不能執行，可能是因為主機 NIC 不支持混雜模式。切記公有云平臺不允許混雜模式。

目前已經擁有了 Macvlan 網絡，并有一臺容器通過 Macvlan 接入了現有的 VLAN 當中。但是，這并不是結束。Docker Macvlan 驅動基于穩定可靠的同名 Linux內核驅動構建而成。

因此，Macvlan 也支持 VLAN 的 Trunk 功能。這意味著可以在相同的 Docker 主機上創建多個 Macvlan 網絡，并且將容器按照下圖的方式連接起來。

以上內容基本能涵蓋 Macvlan。Windows 也提供了類似的解決方案 Transparent 驅動。

用于故障排除的容器和服務日志

當認為遇到容器間網絡連接問題時，檢查 daemon 日志以及容器日志(應用日志)是非常有必要的。

在 Windows 上，daemon 日志存儲在 ∼AppData\Local\Docker，可以通過 Windows 事件查看器來瀏覽。在 Linux 上，daemon 日志的存儲位置取決于當前系統正在使用的初始化方式。

如果是 Systemd，日志會存儲在 Journald，并且可以通過journalctl -u docker.service 命令查看;如果不是 Systemd 讀者需要查看如下位置。

? Ubuntu 系統：upstart:/var/log/upstart/docker.log。

? RHEL 系列：systems:/var/log/messages。

? Debian：/var/log/daemon.log。

? Mac 版 Docker：∼/Library/Containers/com.docker.docker/Data/com. docker.driver.amd64-linux/console-ring。

還可以設置 daemon 日志的詳細程度。可以通過編輯 daemon 配置文件(daemon.json)，將 debug 設置為 true，并同時設置 log-level 為下面的某個值。

? debug：最詳細的日志級別。

? info：默認值，次詳細日志級別。

? warn：第三詳細日志級別。

? error：第四詳細日志級別。

? fatal：最粗略的日志級別。

下面的片段摘自 daemon.json，其中開啟了調試模式，并設置日志級別為 debug。該配置在所有 Docker 平臺均有效。

{
    <Snip>
    "debug":true,
    "log-level":"debug",
    <Snip>
}

修改配置文件之后，需要重啟 Docker 才會生效。這就是 daemon 日志了。容器日志又是什么?

可以通過 docker container logs 命令查看單獨的容器日志，通過 docker service logs 可以查看 Swarm 服務日志。但是，Docker 支持多種日志驅動，并不是每種都能通過 docker logs 命令查看的。

就像引擎日志的驅動和配置一樣，每個 Docker 主機也為容器提供了默認的日志驅動以及配置。其中包括 json-file(默認)、journald(只在運行 systemd 的 Linux 主機中生效)、syslog、splunk 和 gelf。

json-file 和 journald 可能是較容易配置的，并且均可通過 doker logs 和 docker service logs 命令查看。具體命令格式為：

docker logs <container-name> 和 docker service logs <service-name>

如果采用了其他日志驅動，可以通過第三方平臺提供的原生工具進行查看。

下面的片段為 daemon.json 文件的一部分，展示如何配置 Docker 主機使用 syslog 方式。

{
    "log-driver": "syslog"
}

可以為某個容器或者服務配置單獨的日志策略，只需在啟動的時候通過 --log- driver 和 --log-opts 指定特定的日志驅動即可。這樣會覆蓋掉 daemon.json 中的配置。

容器日志生效的前提是應用進程在容器內部 PID 為 1，并且將正常日志輸出到 STDOUT，將異常日志輸出到 STDERR。日志驅動就會將這些“日志”轉發到日志驅動配置指定的位置。

如果應用日志是寫到某個文件的，可以利用符號鏈接將日志文件重定向到 STDOUT 和 STDERR。

下面的例子展示了通過運行 docker logs 命令查看某個使用 json-file 日志驅動，并且名為 vantage-db 容器的日志。

$ docker logs vantage-db
1:C 2 Feb 09:53:22.903 # oO0OoO0OoO0Oo Redis is starting oO0OoO0OoO0Oo
1:C 2 Feb 09:53:22.904 # Redis version=4.0.6, bits=64, commit=00000000, modi\
fied=0, pid=1
1:C 2 Feb 09:53:22.904 # Warning: no config file specified, using the defaul\
t config.
1:M 2 Feb 09:53:22.906 * Running mode=standalone, port=6379.
1:M 2 Feb 09:53:22.906 # WARNING: The TCP backlog setting of 511 cannot be e\
nforced because...
1:M 2 Feb 09:53:22.906 # Server initialized
1:M 2 Feb 09:53:22.906 # WARNING overcommit_memory is set to 0!

通常是很有可能在 daemon 日志或者容器日志中找到網絡連接相關異常的。