Docker и сетевые неймспейсы: разбор от Академии Selectel

Академия Selectel опубликовала разбор сетевого стека Docker — о том, как сетевые неймспейсы Linux превращают обычный процесс в полноценный сетевой узел. В материале объясняется, зачем контейнерам собственная сеть и из чего она складывается.

Зачем контейнеру своя сеть

До появления неймспейсов сеть в Linux была глобальной и плоской: единственный набор сетевых интерфейсов, одна таблица маршрутизации на весь сервер, один экземпляр файрвола и общий для всех процессов пул портов. На практике это означало конфликты — два приложения не могли слушать один и тот же порт, например 80-й, — а изменение маршрутов или правил межсетевого экрана одним сервисом влияло на всю машину. Изоляции не было: процессы видели всю сеть хоста и друг друга.

Сетевой неймспейс — изолированный экземпляр сетевого стека внутри ядра Linux. Контейнер получает собственную копию окружения: интерфейсы, включая loopback, IP-адреса, таблицу маршрутизации, ARP/ND-кэши и правила файрвола. Снаружи этот мир не виден ни хосту, ни другим неймспейсам, а внутри выглядит как полноценная сеть.

Три типа виртуальных интерфейсов

Виртуальные интерфейсы заменяют физическое сетевое оборудование на программном уровне и применяются для маршрутизации, туннелей, защищённых сетей и изоляции стеков. Чаще всего используются три:

• loopback (lo, localhost) — передача трафика внутри самого устройства, адреса от 127.0.0.1 до 127.255.255.255; нужен для взаимодействия микросервисов и тестов без выхода наружу;
• veth (Virtual Ethernet) — пара интерфейсов, соединённых «внутренним кабелем»: всё, что отправлено в один конец, немедленно получает второй; так связывают изолированные части системы;
• bridge — программный коммутатор, объединяющий несколько интерфейсов в один сегмент.

Что это значит

Когда контейнеры на VPS «не видят друг друга», не отвечает проброшенный порт или два сервиса спорят за 80-й, причина почти всегда в связке неймспейс — veth — bridge. Понимание этой схемы экономит часы отладки: сразу видно, где рвётся путь — внутри контейнера, на мосту или в правилах хоста. Под контейнерные нагрузки разумно брать тарифы с NVMe и запасом RAM — такие конфигурации собраны в подборке Docker VPS. Selectel в каталоге представлен 13 тарифами от 1140 ₽/мес с локациями Москва, Санкт-Петербург, Новосибирск и Таллин — Selectel.