Docker 从容器访问主机

Docker 容器是在 Docker 操作系统（Docker Host OS）上运行的进程。容器默认的网络是隔离的网络命名空间，这意味着容器中的进程无法直接访问 Docker 操作系统上的主机。然而，有时候我们需要让容器访问主机上的服务，例如访问主机上运行的数据库、消息队列等等，本文将介绍如何实现从 Docker 容器中访问主机。

方法一：使用 --network=host 参数

使用 --network=host 参数可以将容器的网络命名空间设置为主机的网络命名空间，这样容器内进程的网络通信就会和主机上的进程一样，无需进行额外的端口映射或者配置。

具体操作如下：

$ docker run --network=host your_image

该命令会启动一个容器，并将容器的网络命名空间设置为主机的网络命名空间，从而可以实现容器内进程对主机的访问。

该方法的缺点是容器和主机的网络、文件系统等都相互影响，容器会和主机一样具有完全的访问权限。

方法二：使用特殊的主机 IP 地址

Docker 运行时会为每一个容器分配一个唯一的 IP 地址，该 IP 地址是在容器的网络命名空间中使用的。我们可以使用特殊的主机 IP 地址，将容器与主机进行连接。

具体操作如下：

步骤 1：在主机上创建一个共享的网络命名空间

$ sudo ip netns add container_ns

步骤 2：将容器的网络命名空间连接到共享的网络命名空间中

$ sudo ip link add veth0 type veth peer name veth1
$ sudo ip link set veth1 netns container_namespace
$ sudo ip netns exec container_namespace ip link set dev veth1 name eth0
$ sudo ip netns exec container_namespace ip addr add 192.168.1.2/24 dev eth0
$ sudo ip link set veth0 up
$ sudo ip netns exec container_namespace ip link set eth0 up
$ sudo ip netns exec container_namespace ip route add default via 192.168.1.1
$ sudo iptables -t nat -A POSTROUTING -s 192.168.1.2/24 -o eth0 -j MASQUERADE

步骤 3：在容器中使用已连接的网络命名空间

$ docker run --rm -it --net=none your_image /bin/bash
$ ip a add dev eth0 192.168.1.1/24
$ ip link set dev eth0 up
$ ip route add default via 192.168.1.2

该方法的优点是容器与主机分离，并且只有容器具有对主机的访问权限。缺点是需要手动配置网络命名空间，配置过程较为繁琐。

总结

以上是 Docker 从容器访问主机的两种方法，其中第一种方法比较简单，但会导致容器具有主机的所有权限。第二种方法可以实现容器与主机的隔离，但需要进行网络命名空间的手动配置。根据具体的应用场景，选择合适的方法可以更好的保护系统安全。