Docker 配置容器的步骤是：
1.创建一对虚拟接口
2.在主Docker主机内部给它一个唯一的名称，比如veth65f9，绑定它到docker0或者Docker使用的任何网桥上
3.让其他的接口FQ进入新的容器（已经提供了lo接口），在容器的独立和唯一网络接口命名空间内，重新命名它为更漂亮的名字eth0，名称不要和其他的物理接口冲突
4.在网桥的网络地址访问内给容器的eth0一个新的IP地址，设置它的缺省路由为Docker主机在网桥上拥有的IP地址。
这些步骤结束后，容器将立即拥有一个eth0（虚拟）网卡，并会发现它自己可以和其他的容器以及互联网通讯。
你可以使用 –net= 这个选项来执行 docker run 启动一个容器，这个选项有一下可选参数。
–net=bridge— 默认选项，用网桥的方式来连接docker容器。
–net=host— docker跳过配置容器的独立网络栈。
–net=container:NAME_or_ID— 告诉docker让这个新建的容器使用已有容器的网络配置。
–net=none— 告诉docker为新建的容器建立一个网络栈，但不对这个网络栈进行任何配置，所以只能访问本地网络，没有外网。
一、桥接模式（Bridge）
1.bridge模式的拓扑
这是 docker 默认的网络模式，Docker 后台程序会创建 docker0，一个虚拟的以太网桥，用于自动转发与之连接的任意网络接口间的数据包。在bridge模式下，连在同一网桥上的容器可以相互通信。
Docker完成以上网络配置的过程大致是这样的：
1. 在主机上创建一对虚拟网卡veth pair设备。veth设备总是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另一个设备出来。因此，veth设备常用来连接两个网络设备。
2. Docker将veth pair设备的一端放在新创建的容器中，并命名为eth0。另一端放在主机中，以veth65f9这样类似的名字命名，并将这个网络设备加入到docker0网桥中，可以通过brctl show命令查看。
3. 从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。
2.bridge模式下容器的通信
[root@sta2 docker]# docker run -it -P --name mynginx nginx #为容器做端口映射
使用桥接模式时，docker会创建一个docker0 的网桥，并将这个网络设备加入到docker0网桥中，可以通过brctl show命令查看。
[root@sta2 ~]# brctl show bridge name bridge id STP enabled interfaces docker0 8000.3e2d35d38bae no vethab6aea2
从docker0子网中分配一个IP给容器使用，并设置docker0的IP地址为容器的默认网关。
容器中的网络配置：
查看映射端口配置：
[root@sta2 docker]# docker ps -l
或者使用以下方法：
[root@sta2 docker]# docker port mynginx 443/tcp -> 0.0.0.0:32774 80/tcp -> 0.0.0.0:32775
当使用 -P 标记时，Docker 会随机映射一个 49000~49900 的端口到内部容器开放的网络端口，nginx 映射的端口固定为32774 和 32775。
查看访问日志：
[root@sta2 docker]# docker logs -f mynginx
使用 -p（小写的）则可以指定要映射的端口，并且，在一个指定端口上只可以绑定一个容器，-p 标记可以多次使用来绑定多个端口。支持的格式有 ip:hostPort:containerPort | ip::containerPort | hostPort:containerPort 。
可以使用 hostPort:containerPort 映射所有接口地址：
docker run -d -p 5000:5000 --name mydocker nginx
此时默认会绑定本地所有接口上的所有地址。
可以使用 ip:hostPort:containerPort 格式指定映射使用一个特定地址，映射到指定地址的指定端口
docker run -d -p 127.0.0.1:5000:5000 --name mydocker nginx
使用 ip::containerPort 绑定 localhost 的任意端口到容器的 5000 端口，本地主机会自动分配一个端口。映射到指定地址的任意端口：
docker run -d -p 127.0.0.1::5000 --name mydocker nginx
docker 做端口映射时会生成 iptables 规则，端口映射前的 iptables 规则：
端口映射后的 iptables 规则：
二、host模式
众所周知，Docker使用了Linux的Namespaces技术来进行资源隔离，如PID Namespace隔离进程，Mount Namespace隔离文件系统，Network Namespace隔离网络等。一个Network Namespace提供了一份独立的网络环境，包括网卡、路由、Iptable规则等都与其他的Network Namespace隔离。一个Docker容器一般会分配一个独立的Network Namespace。但如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的Network Namespace，而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。
例如，我们在10.10.101.105/24的机器上用host模式启动一个含有web应用的Docker容器，监听tcp80端口。当我们在容器中执行任何类似ifconfig命令查看网络环境时，看到的都是宿主机上的信息。而外界访问容器中的应用，则直接使用10.10.101.105:80即可，不用任何NAT转换，就如直接跑在宿主机中一样。但是，容器的其他方面，如文件系统、进程列表等还是和宿主机隔离的。
三、container模式
这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace，而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过lo网卡设备通信。
四、none模式
在这种模式下，Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。
