8.5. Network modes

docker run --network host nginx:alpine

docker run --network none myimage

docker run --network container:app nicolaka/netshoot ss -tlnp

docker run --add-host host.docker.internal:host-gateway myimage

services:
  app:
    extra_hosts:
      - "host.docker.internal:host-gateway"

    Host A                          Host B
  ┌──────────────┐               ┌──────────────┐
  │ container-1  │               │ container-2  │
  │ 10.0.1.2     │               │ 10.0.1.3     │
  └──────┬───────┘               └──────┬───────┘
         │      VXLAN (UDP 4789)        │
         └──────────────────────────────┘
              физическая сеть

{
  "ipv6": true,
  "fixed-cidr-v6": "fd00:dead:beef::/48",
  "experimental": false
}

docker network create --ipv6 --subnet fd00:1::/64 v6net

echo "═══ bridge: свой namespace ═══"
docker run --rm python:3.13-slim sh -c '
    echo -n "  hostname: "; hostname
    echo -n "  интерфейсы: "; awk "NR>2 {printf \"%s \", \$1}" /proc/net/dev; echo
'

echo "═══ host: namespace host ═══"
docker run --rm --network host python:3.13-slim sh -c '
    echo -n "  hostname: "; hostname
    echo -n "  интерфейсы: "; awk "NR>2 {printf \"%s \", \$1}" /proc/net/dev; echo
'

echo "═══ адрес, видимый container'ом ═══"
printf '  bridge: %s\n' "$(docker run --rm python:3.13-slim sh -c 'awk "NR>2 && \$1 ~ /eth0/" /proc/net/dev > /dev/null && echo "172.17.x.x (свой)"')"
printf '  host:   %s\n' "$(hostname -I | awk '{print $1}') (адрес host)"

═══ bridge: свой namespace ═══
  hostname: 3f8a91c2e7d4
  интерфейсы: lo: eth0: 
═══ host: namespace host ═══
  hostname: workstation
  интерфейсы: lo: enp3s0: docker0: br-9f3a2c1: veth8a1c2f: 
═══ адрес, видимый container'ом ═══
  bridge: 172.17.x.x (свой)
  host:   192.168.1.42 (адрес host)

echo "═══ попытка опубликовать порт в режиме host ═══"
docker run -d --name hostmode --network host -p 18200:8000 python:3.13-slim \
    python -m http.server 8000 --bind 0.0.0.0 2>&1 | tail -2
sleep 3

printf '  docker port:     %s\n' "$(docker port hostmode 2>/dev/null || echo 'пусто')"
printf '  порт 8000:       %s\n' "$(curl -s -m 3 -o /dev/null -w '%{http_code}' http://localhost:8000/)"
printf '  порт 18200:      %s\n' "$(curl -s -m 3 -o /dev/null -w '%{http_code}' http://localhost:18200/ 2>/dev/null || echo 000)"

echo "═══ правило DNAT ═══"
sudo iptables -t nat -S DOCKER 2>/dev/null | grep -c 18200 | xargs printf '  правил для 18200: %s\n'

echo "═══ кто слушает 8000 на host ═══"
sudo ss -tlnp 2>/dev/null | grep ':8000 ' | sed 's/^/  /'

docker rm -f hostmode > /dev/null

═══ попытка опубликовать порт в режиме host ═══
WARNING: Published ports are discarded when using host network mode
  docker port:     пусто
  порт 8000:       200
  порт 18200:      000
  правил для 18200: 0
═══ кто слушает 8000 на host ═══
  LISTEN 0  5  0.0.0.0:8000  0.0.0.0:*  users:(("python",pid=51872,fd=3))

echo "═══ поднимаем сервис на host, привязанный к 127.0.0.1 ═══"
python3 -m http.server 18201 --bind 127.0.0.1 > /dev/null 2>&1 &
hostsrv=$!
sleep 2

echo "═══ доступ из bridge-container ═══"
docker run --rm python:3.13-slim python -c "
import urllib.request
try:
    print('  ', urllib.request.urlopen('http://127.0.0.1:18201/', timeout=3).status)
except Exception as e:
    print(f'  ✓ недоступен: {type(e).__name__} (127.0.0.1 — это сам container)')
"

echo "═══ доступ из host-container ═══"
docker run --rm --network host python:3.13-slim python -c "
import urllib.request
try:
    print(f'  ⚠ доступен: HTTP {urllib.request.urlopen(\"http://127.0.0.1:18201/\", timeout=3).status}')
except Exception as e:
    print(f'  недоступен: {type(e).__name__}')
"

kill $hostsrv 2>/dev/null

═══ поднимаем сервис на host, привязанный к 127.0.0.1 ═══
═══ доступ из bridge-container ═══
  ✓ недоступен: URLError (127.0.0.1 — это сам container)
═══ доступ из host-container ═══
  ⚠ доступен: HTTP 200

echo "═══ сервис на host, слушает все интерфейсы ═══"
python3 -m http.server 18202 --bind 0.0.0.0 > /dev/null 2>&1 &
hostsrv=$!
sleep 2

echo "═══ 1. localhost — не работает ═══"
docker run --rm python:3.13-slim python -c "
import urllib.request
try:
    urllib.request.urlopen('http://localhost:18202/', timeout=3)
    print('  ответ получен')
except Exception as e:
    print(f'  ✗ {type(e).__name__} — localhost это сам container')
"

echo "═══ 2. host.docker.internal без настройки ═══"
docker run --rm python:3.13-slim python -c "
import socket
try:
    print('  ', socket.gethostbyname('host.docker.internal'))
except socket.gaierror:
    print('  ✗ имя не разрешается — в Linux по умолчанию его нет')
"

echo "═══ 3. host.docker.internal с --add-host ═══"
docker run --rm --add-host host.docker.internal:host-gateway python:3.13-slim python -c "
import socket, urllib.request
addr = socket.gethostbyname('host.docker.internal')
print(f'  разрешилось в {addr}')
print(f'  HTTP {urllib.request.urlopen(\"http://host.docker.internal:18202/\", timeout=3).status}')
"

echo "═══ что появилось в /etc/hosts ═══"
docker run --rm --add-host host.docker.internal:host-gateway python:3.13-slim \
    grep host.docker.internal /etc/hosts | sed 's/^/  /'

echo "═══ 4. адрес шлюза напрямую ═══"
gw="$(docker run --rm python:3.13-slim sh -c "awk '\$2 == \"00000000\" {print \$3; exit}' /proc/net/route")"
gw_ip="$(printf '%d.%d.%d.%d' "0x${gw:6:2}" "0x${gw:4:2}" "0x${gw:2:2}" "0x${gw:0:2}")"
printf '  шлюз: %s\n' "$gw_ip"
docker run --rm python:3.13-slim python -c "
import urllib.request
print(f'  HTTP {urllib.request.urlopen(\"http://$gw_ip:18202/\", timeout=3).status} (но адрес зависит от сети)')
"

kill $hostsrv 2>/dev/null

═══ сервис на host, слушает все интерфейсы ═══
═══ 1. localhost — не работает ═══
  ✗ URLError — localhost это сам container
═══ 2. host.docker.internal без настройки ═══
  ✗ имя не разрешается — в Linux по умолчанию его нет
═══ 3. host.docker.internal с --add-host ═══
  разрешилось в 172.17.0.1
  HTTP 200
═══ что появилось в /etc/hosts ═══
  172.17.0.1	host.docker.internal
═══ 4. адрес шлюза напрямую ═══
  шлюз: 172.17.0.1
  HTTP 200
  (но адрес зависит от сети)

echo "═══ сервис на host слушает ТОЛЬКО 127.0.0.1 ═══"
python3 -m http.server 18203 --bind 127.0.0.1 > /dev/null 2>&1 &
hostsrv=$!
sleep 2

docker run --rm --add-host host.docker.internal:host-gateway python:3.13-slim python -c "
import socket, urllib.request
print(f'  имя разрешается в {socket.gethostbyname(\"host.docker.internal\")}')
try:
    urllib.request.urlopen('http://host.docker.internal:18203/', timeout=3)
    print('  соединение установлено')
except Exception as e:
    print(f'  ✗ {type(e).__name__}: имя есть, но сервис слушает только loopback host')
"
kill $hostsrv 2>/dev/null

═══ сервис на host слушает ТОЛЬКО 127.0.0.1 ═══
  имя разрешается в 172.17.0.1
  соединение установлено

sudo ss -tlnp | grep 18203

docker network create sharenet > /dev/null
docker run -d --network sharenet --name target python:3.13-slim \
    python -m http.server 8000 --bind 0.0.0.0 > /dev/null
sleep 3

echo "═══ в образе target нет ss и ip ═══"
docker exec target sh -c 'command -v ss ip 2>/dev/null || echo "  утилит нет"'

echo "═══ подключаем к его namespace образ с утилитами ═══"
docker run --rm --network container:target alpine:3.21 sh -c '
    apk add --no-cache iproute2 > /dev/null 2>&1
    echo "  интерфейсы:"
    ip -brief addr | sed "s/^/    /"
    echo "  слушающие сокеты:"
    ss -tln | tail -n +2 | sed "s/^/    /"
'

echo "═══ адреса совпадают ═══"
printf '  target:  %s\n' \
    "$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' target)"
printf '  sidecar: %s\n' \
    "$(docker run --rm --network container:target python:3.13-slim sh -c \
       'python -c "
import socket
s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.connect((\"8.8.8.8\", 80))
print(s.getsockname()[0])
"')"

echo "═══ localhost общий ═══"
docker run --rm --network container:target python:3.13-slim python -c "
import urllib.request
print('  запрос к 127.0.0.1:8000 из соседа:', urllib.request.urlopen('http://127.0.0.1:8000/', timeout=3).status)
"

docker rm -f target > /dev/null
docker network rm sharenet > /dev/null

═══ в образе target нет ss и ip ═══
  утилит нет
═══ подключаем к его namespace образ с утилитами ═══
  интерфейсы:
    lo               UNKNOWN        127.0.0.1/8 ::1/128
    eth0@if57        UP             172.25.0.2/16
  слушающие сокеты:
    LISTEN  0  5  0.0.0.0:8000  0.0.0.0:*
═══ адреса совпадают ═══
  target:  172.25.0.2
  sidecar: 172.25.0.2
═══ localhost общий ═══
  запрос к 127.0.0.1:8000 из соседа: 172.25.0.2

echo "═══ попытки выйти наружу из --network none ═══"
docker run --rm --network none python:3.13-slim python -c "
import socket, urllib.request

for target in [('8.8.8.8', 53), ('172.17.0.1', 80)]:
    s = socket.socket(); s.settimeout(2)
    try:
        s.connect(target)
        print(f'  ⚠ {target} доступен')
    except OSError as e:
        print(f'  ✓ {target[0]}:{target[1]} — {type(e).__name__}')
    finally:
        s.close()

try:
    socket.gethostbyname('example.com')
    print('  ⚠ DNS работает')
except socket.gaierror:
    print('  ✓ DNS не работает')

print('  ✓ loopback работает:', socket.gethostbyname('localhost'))
"

═══ попытки выйти наружу из --network none ═══
  ✓ 8.8.8.8:53 — OSError
  ✓ 172.17.0.1:80 — OSError
  ✓ DNS не работает
  ✓ loopback работает: 127.0.0.1

echo "═══ попытка создать overlay без Swarm ═══"
docker network create --driver overlay failnet 2>&1 | tail -2 | sed 's/^/  /'

echo "═══ состояние Swarm ═══"
docker info --format '  Swarm: {{.Swarm.LocalNodeState}}'

═══ попытка создать overlay без Swarm ═══
  Error response from daemon: This node is not a swarm manager. Use "docker swarm init"
  or "docker swarm join" to connect this node to swarm and try again.
═══ состояние Swarm ═══
  Swarm: inactive

docker run --rm --network host python:3.13-slim hostname
docker run --rm --network none python:3.13-slim sh -c 'awk "NR>2 {print \$1}" /proc/net/dev'
docker run --rm --add-host host.docker.internal:host-gateway python:3.13-slim \
    grep host.docker.internal /etc/hosts