8.2. Bridge networks

        ┌──── frontend ────┐        ┌──── backend ────┐
        │                  │        │                 │
   ──►  │   proxy    web ──┼────────┼── web     db    │
        │                  │        │                 │
        └──────────────────┘        └─────────────────┘
                                     (--internal: нет
                                      выхода наружу)

docker network create appnet
docker network create --subnet 10.10.0.0/24 --gateway 10.10.0.1 appnet2
docker network create --internal backend
docker network create -o com.docker.network.bridge.name=br-app appnet3

docker run -d --network appnet --ip 10.10.0.50 --name fixed nginx:alpine
docker run -d --network appnet --network-alias db --name postgres-1 postgres:17-alpine

docker network connect backend web
docker network disconnect frontend web

docker network create demo-net > /dev/null

echo "═══ default bridge ═══"
docker run -d --name d1 python:3.13-slim sleep 300 > /dev/null
docker run -d --name d2 python:3.13-slim sleep 300 > /dev/null
sleep 1
docker exec d1 getent hosts d2 && echo "  имя разрешилось" || echo "  ✗ имя d2 не разрешается"

echo "═══ user-defined bridge ═══"
docker run -d --network demo-net --name u1 python:3.13-slim sleep 300 > /dev/null
docker run -d --network demo-net --name u2 python:3.13-slim sleep 300 > /dev/null
sleep 1
docker exec u1 getent hosts u2 | sed 's/^/  /' && echo "  ✓ имя разрешилось"

echo "═══ что в /etc/resolv.conf ═══"
printf '  default:      %s\n' "$(docker exec d1 grep nameserver /etc/resolv.conf | head -1)"
printf '  user-defined: %s\n' "$(docker exec u1 grep nameserver /etc/resolv.conf | head -1)"

═══ default bridge ═══
  ✗ имя d2 не разрешается
═══ user-defined bridge ═══
  172.18.0.3      u2
  ✓ имя разрешилось
═══ что в /etc/resolv.conf ═══
  default:      nameserver 127.0.0.11
  user-defined: nameserver 127.0.0.11

docker network create net-a > /dev/null
docker network create net-b > /dev/null

docker run -d --network net-a --name in-a python:3.13-slim \
    python -m http.server 8000 --bind 0.0.0.0 > /dev/null
docker run -d --network net-b --name in-b python:3.13-slim sleep 300 > /dev/null
sleep 3

ip_a="$(docker inspect -f '{{.NetworkSettings.Networks.net_a.IPAddress}}' in-a 2>/dev/null \
        || docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' in-a)"
echo "  адрес in-a: $ip_a"

echo "═══ доступ по имени из другой сети ═══"
docker exec in-b getent hosts in-a > /dev/null 2>&1 \
    && echo "  имя разрешилось" || echo "  ✗ имя не разрешается"

echo "═══ доступ по IP из другой сети ═══"
docker exec in-b python -c "
import socket
s = socket.socket(); s.settimeout(3)
try:
    s.connect(('$ip_a', 8000)); print('  соединение установлено')
except Exception as e:
    print(f'  ✗ недоступно: {type(e).__name__}')
"

echo "═══ подключаем in-b ко второй сети ═══"
docker network connect net-a in-b
sleep 1
docker exec in-b python -c "
import socket, urllib.request
print('  по имени:', socket.gethostbyname('in-a'))
r = urllib.request.urlopen('http://in-a:8000/', timeout=3)
print('  HTTP:', r.status)
"

echo "═══ интерфейсы in-b теперь ═══"
docker exec in-b sh -c 'awk "NR>2 {printf \"  %s\n\", \$1}" /proc/net/dev'

  адрес in-a: 172.19.0.2
═══ доступ по имени из другой сети ═══
  ✗ имя не разрешается
═══ доступ по IP из другой сети ═══
  ✗ недоступно: timeout
═══ подключаем in-b ко второй сети ═══
  по имени: 172.19.0.2
  HTTP: 200
═══ интерфейсы in-b теперь ═══
  lo:
  eth0:
  eth1:

docker rm -f d1 d2 u1 u2 in-a in-b > /dev/null
docker network rm demo-net net-a net-b > /dev/null

docker network create frontend > /dev/null
docker network create --internal backend > /dev/null

# База — только в backend
docker run -d --network backend --name db \
    -e POSTGRES_PASSWORD=secret -e POSTGRES_DB=appdb \
    postgres:17-alpine > /dev/null

# Приложение — в обеих сетях
docker run -d --network backend --name web python:3.13-slim sleep 600 > /dev/null
docker network connect frontend web

# Прокси — только во frontend
docker run -d --network frontend --name proxy python:3.13-slim sleep 600 > /dev/null
sleep 8

echo "═══ web видит db ═══"
docker exec web python -c "
import socket
s = socket.socket(); s.settimeout(3)
try:
    s.connect(('db', 5432)); print('  ✓ web → db: соединение установлено')
except Exception as e:
    print(f'  ✗ web → db: {type(e).__name__}')
"

echo "═══ proxy не видит db ═══"
docker exec proxy python -c "
import socket
s = socket.socket(); s.settimeout(3)
try:
    s.connect(('db', 5432)); print('  ✗ proxy → db: соединение установлено (изоляции нет!)')
except socket.gaierror:
    print('  ✓ proxy → db: имя не разрешается')
except Exception as e:
    print(f'  ✓ proxy → db: {type(e).__name__}')
"

echo "═══ proxy видит web ═══"
docker exec proxy getent hosts web | sed 's/^/  /'

echo "═══ db не имеет выхода наружу (--internal) ═══"
docker exec db sh -c 'ip route | head -2' 2>/dev/null | sed 's/^/  /'
docker exec db timeout 4 wget -q -O- https://example.com > /dev/null 2>&1 \
    && echo "  ✗ выход в интернет есть" || echo "  ✓ выхода в интернет нет"

echo "═══ сети container'а web ═══"
docker inspect web --format '{{range $n, $v := .NetworkSettings.Networks}}  {{$n}}: {{$v.IPAddress}}
{{end}}'

═══ web видит db ═══
  ✓ web → db: соединение установлено
═══ proxy не видит db ═══
  ✓ proxy → db: имя не разрешается
═══ proxy видит web ═══
  172.20.0.3      web
═══ db не имеет выхода наружу (--internal) ═══
  172.21.0.0/16 dev eth0 scope link src 172.21.0.2
  ✓ выхода в интернет нет
═══ сети container'а web ═══
  backend: 172.21.0.3
  frontend: 172.20.0.3

docker rm -f db web proxy > /dev/null
docker network rm frontend backend > /dev/null

docker network create portnet > /dev/null
docker run -d --network portnet --name server python:3.13-slim \
    python -m http.server 8000 --bind 0.0.0.0 > /dev/null
docker run -d --network portnet --name client python:3.13-slim sleep 300 > /dev/null
sleep 3

echo "═══ опубликованные порты ═══"
docker port server 2>/dev/null | sed 's/^/  /' || echo "  портов не опубликовано"

echo "═══ доступ с host ═══"
curl -s -m 3 -o /dev/null -w '  HTTP %{http_code}\n' http://localhost:8000/ 2>/dev/null \
    || echo "  ✓ с host недоступен"

echo "═══ доступ из соседнего container ═══"
docker exec client python -c "
import urllib.request
print('  ✓ из сети доступен, HTTP', urllib.request.urlopen('http://server:8000/', timeout=3).status)
"

docker rm -f server client > /dev/null
docker network rm portnet > /dev/null

═══ опубликованные порты ═══
  портов не опубликовано
═══ доступ с host ═══
  ✓ с host недоступен
═══ доступ из соседнего container ═══
  ✓ из сети доступен, HTTP 200

docker network create \
    --subnet 10.77.0.0/24 \
    --gateway 10.77.0.1 \
    --ip-range 10.77.0.128/25 \
    -o com.docker.network.bridge.name=br-custom \
    custom-net > /dev/null

echo "═══ параметры сети ═══"
docker network inspect custom-net --format '
  подсеть:  {{range .IPAM.Config}}{{.Subnet}}{{end}}
  шлюз:     {{range .IPAM.Config}}{{.Gateway}}{{end}}
  пул:      {{range .IPAM.Config}}{{.IPRange}}{{end}}
  драйвер:  {{.Driver}}
  internal: {{.Internal}}'

echo "═══ bridge на host ═══"
ip -brief addr show br-custom 2>/dev/null | sed 's/^/  /'

echo "═══ адреса выдаются из --ip-range ═══"
for n in 1 2 3; do
    docker run -d --network custom-net --name "c$n" alpine:3.21 sleep 60 > /dev/null
done
sleep 1
for n in 1 2 3; do
    printf '  c%s: %s\n' "$n" \
        "$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' "c$n")"
done

echo "═══ статический адрес вне пула ═══"
docker run -d --network custom-net --ip 10.77.0.10 --name static alpine:3.21 sleep 60 > /dev/null
printf '  static: %s\n' \
    "$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' static)"

docker rm -f c1 c2 c3 static > /dev/null
docker network rm custom-net > /dev/null

═══ параметры сети ═══
  подсеть:  10.77.0.0/24
  шлюз:     10.77.0.1
  пул:      10.77.0.128/25
  драйвер:  bridge
  internal: false
═══ bridge на host ═══
  br-custom        UP             10.77.0.1/24
═══ адреса выдаются из --ip-range ═══
  c1: 10.77.0.129
  c2: 10.77.0.130
  c3: 10.77.0.131
═══ статический адрес вне пула ═══
  static: 10.77.0.10

echo "═══ цепочки изоляции ═══"
sudo iptables -S DOCKER-ISOLATION-STAGE-1 2>/dev/null | head -5 | sed 's/^/  /' \
    || echo "  (используется nftables-backend; см. nft list ruleset)"

═══ цепочки изоляции ═══
  -N DOCKER-ISOLATION-STAGE-1
  -A DOCKER-ISOLATION-STAGE-1 -i br-custom ! -o br-custom -j DOCKER-ISOLATION-STAGE-2
  -A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
  -A DOCKER-ISOLATION-STAGE-1 -j RETURN

docker network create checknet > /dev/null
docker run -d --network checknet --name a alpine:3.21 sleep 60 > /dev/null
docker run -d --network checknet --name b alpine:3.21 sleep 60 > /dev/null
docker exec a getent hosts b
docker rm -f a b > /dev/null; docker network rm checknet > /dev/null