在Docker容器化部署初期，很多新手依赖默认的bridge网络启动容器，但随着微服务数量增加，默认网络的局限性逐渐暴露：容器重启后IP地址会变化导致服务调用失败、所有容器共享同一网络存在安全风险、跨主机容器通信需要复杂配置。而【Docker network create创建网络】的核心价值，就是通过自定义网络实现容器的业务级隔离、自动DNS解析、跨主机安全通信，彻底解决默认网络的痛点。据鳄鱼java开发团队统计，采用自定义网络后，我们的微服务通信错误率从15%降至2%，容器隔离性提升90%，成为生产环境容器化部署的标准配置。
一、为什么要自定义网络？默认bridge的3大致命缺陷
Docker安装后会自动创建一个名为bridge的默认网络，所有未指定网络的容器都会加入这个网络，但这个网络在生产环境中存在不可忽视的问题：
1. **无自动DNS解析，依赖IP通信易失效**：默认bridge网络不支持容器名称到IP的自动解析，容器间通信只能用IP地址，但容器重启后IP会重新分配，导致服务调用失败。鳄鱼java的新手开发曾因这个问题，在容器重启后花费3小时排查微服务调用失败的原因，最后发现是IP变化导致配置中的地址无效。
2. **完全开放的网络，安全风险极高**：默认bridge网络中所有容器都可以相互通信，没有任何访问控制，比如测试容器可以直接访问生产数据库容器，容易引发数据泄漏风险。鳄鱼java的某项目曾因测试人员误操作，测试容器删除了生产数据库的测试数据，后来采用自定义网络隔离业务线后，此类问题彻底消失。
3. **跨主机通信难度大，扩展性差**：默认bridge网络仅支持单主机容器通信，若要实现跨主机集群通信，需要额外配置第三方工具或手动修改网络规则，扩展性极差，无法支撑Swarm、Kubernetes等集群部署场景。
二、基础语法拆解：Docker network create的核心参数
【Docker network create创建网络】的基础语法简洁，但核心参数决定了网络的功能和性能，以下是生产环境中常用的参数：
docker network create [参数] 网络名称
1. **--driver（网络驱动）**：指定网络的驱动类型，支持bridge（单主机桥接，最常用）、overlay（跨主机集群网络）、macvlan（容器直接连接物理网络）、host（共享宿主机网络，不推荐）。鳄鱼java团队90%的业务场景使用bridge驱动，跨主机场景用overlay驱动。
2. **--subnet（子网）**：指定网络的子网范围，比如--subnet 172.25.0.0/16，避免和宿主机或其他网络的IP段冲突，确保容器IP的可控性。默认情况下Docker会随机分配子网，容易导致IP冲突，生产环境必须手动指定。
3. **--gateway（网关）**：指定网络的网关地址，比如--gateway 172.25.0.1，容器通过网关访问外部网络，若不指定，Docker会自动分配子网中的第一个IP作为网关。
4. **--ip-range（IP范围）**：指定容器可分配的IP范围，比如--ip-range 172.25.0.0/24，限制容器IP的分配区间，避免占用子网中的特殊IP（比如留作其他服务使用的IP）。
鳄鱼java的基础自定义网络示例：
# 创建电商订单业务的自定义桥接网络
docker network create --driver bridge --subnet 172.25.0.0/16 --gateway 172.25.0.1 order-net
三、生产级实战：鳄鱼java的3种自定义网络场景
在鳄鱼java的生产环境中，【Docker network create创建网络】根据不同的业务需求，分为3种核心场景，覆盖了从单主机到跨主机的所有部署需求：
1. **单主机微服务隔离：按业务线划分网络**
对于单主机部署的微服务，我们按业务线创建独立的自定义网络，比如订单服务、用户服务、支付服务分别使用不同的网络，实现业务间的网络隔离，避免相互影响。
# 创建用户服务网络
docker network create --driver bridge --subnet 172.26.0.0/16 user-net
# 启动用户服务容器并加入网络，指定固定IP
docker run -d --name user-service --network user-net --ip 172.26.0.10 crocodilejava/user-service:v1.0
ping user-service就能自动解析到IP，无需担心容器重启IP变化的问题。
2. **跨主机集群通信：overlay网络支撑Swarm集群**
对于Swarm集群部署的跨主机服务，我们使用overlay驱动创建网络，实现集群中不同主机的容器之间的安全通信，且支持自动DNS解析。
# 初始化Swarm集群（仅在管理节点执行）
docker swarm init --advertise-addr 192.168.1.100
# 创建跨主机overlay网络
docker network create --driver overlay --subnet 10.0.0.0/16 swarm-net
# 在集群中部署服务并加入overlay网络
docker service create --name order-service --network swarm-net --replicas 3 crocodilejava/order-service:v1.0
3. **物理网络直连：macvlan网络适配传统设备**
对于需要和传统物理设备（比如打印机、监控设备）通信的容器，我们使用macvlan驱动创建网络，让容器直接获取宿主机所在局域网的IP，和物理设备处于同一网络，无需NAT转换，通信效率更高。
# 创建macvlan网络，绑定宿主机物理网卡eth0
docker network create --driver macvlan --subnet 192.168.1.0/24 --gateway 192.168.1.1 -o parent=eth0 macvlan-net
# 启动监控容器并加入macvlan网络，直接获取局域网IP
docker run -d --name monitor --network macvlan-net --ip 192.168.1.50 crocodilejava/monitor:v1.0
四、网络管理进阶：鳄鱼java的运维技巧与排查方案
创建自定义网络后，还需要掌握常用的管理命令，以及排查网络问题的方法，鳄鱼java团队总结了以下技巧：
1. **网络状态查看**：使用docker network ls列出所有网络，docker network inspect 网络名称查看网络的详细配置（比如子网、网关、连接的容器）。
2. **容器网络连接/断开**：若需要将已运行的容器加入网络，使用docker network connect user-net payment-service；断开连接用docker network disconnect user-net payment-service。
3. **无用网络清理**：定期清理未使用的网络，避免资源浪费，使用docker network prune会自动删除所有未被容器使用的网络，执行前需确认无重要网络未被使用。
4. **网络故障排查**：若容器间无法通信，先检查容器是否加入同一网络，再在容器中执行ping或traceroute排查，也可以通过docker network inspect查看网络配置是否正确，鳄鱼java运维团队常用这个方法在10分钟内定位90%的容器网络问题。
五、安全最佳实践：鳄鱼java的网络隔离规范
在生产环境中，自定义网络不仅要满足通信需求，还要保障安全，鳄鱼java团队制定了以下规范：
1. **按业务线严格隔离**：禁止不同业务线的容器共享同一网络，比如订单服务和日志服务必须使用独立网络，避免日志服务泄露订单数据。
版权声明
本文仅代表作者观点，不代表百度立场。
本文系作者授权百度百家发表，未经许可，不得转载。
