Docker Swarm 路由网格

Question

假设我在 swarm 中有 2 个节点（节点 1 是管理器，节点 2 是工作器），并使用以下组合启动

version: "3.9"
services:
  app1:
    image: app1image
    ports:
      - 8080:8080
    deploy:
      mode: global
  app2:
    image: app2image
    ports:
      - 9080:9080
    deploy:
      mode: replicated
      replicas: 1
      placement:
        constraints:
          - "node.role==manager"

我的问题是：

1. 如果我尝试通过 node1 访问 app1，我可以路由到 node2 中的 app1 容器吗？
2. 由于 app2 仅部署到 node1，如果我尝试通过端口 9080 上的 node2 访问它，我可以吗？
3. 除了 docker 文档引用的端口（用于集群管理通信的 TCP 端口 2377 和用于节点之间通信的 UDP 端口 7946 用于覆盖网络流量的 UDP 端口 4789）之外，还有其他需要打开的端口吗？ 就像 app1 想要调用 app2 一样

Answer 1

因此，要了解实际发生的事情：

version: "3.9"

networks:
  default:
    driver: overlay
  ingress:
    external: true

services:
  app1:
    image: app1image
    ports:
      - 8080:5000
    deploy:
      mode: global
    networks:
      - default

  app2:
    image: app2image
    ports:
      - 9080:5000
    networks:
      - default
    deploy:
      placement:
        constraints:
          - node.role==manager

在此配置中，我的期望是应用程序正在侦听0.0.0.0:5000 。

因此，docker 所做的是创建了两个网络：一个入口网络，用于将每个主机上的端口桥接到每个容器：

node1:8080 node2:8080 将被路由并负载均衡到 app1 容器。 和 node1:9080, nod2:9080 将被路由和负载均衡到 app2 容器。

服务容器或任务也已附加到组合堆栈的隐式默认网络。 它是一个覆盖或软件定义的网络，因此每个容器在该网络上都有一个与其所在节点无关的 IP。 我已经决定两个服务的实际侦听端口是端口 :5000，因此附加到 {stack}_default 的任何服务都将能够使用服务名称和实际端口地址：

app1:5000 将通过 vip 路由以将流量负载均衡到 app1 的实例，而app1.tasks是一个 dnsrr 记录，它将返回每个容器的 ip。

同样，app2:5000 将路由到管理器节点上的 app2 容器。

app1 和 app2 dns 名称对属于堆栈/附加到 {stack_default} 网络的服务完全私有，因此 app1:5000 名称在 swarm 外部不可用，甚至对其他未明确显示的堆栈或容器也不可用随附的。

所以：

1. 是的。
2. 是的。
3. 不是，但：

如果您使用ports:来发布端口，那么这些端口在 docker 外部并且不通过覆盖网络。 如果节点到节点通信需要，您需要添加发布到防火墙的每个端口。 例如 8080 和 9080 需要打开。

但是，由于覆盖网络允许连接，在物理链路层使用 4789，因此覆盖上的 app1 和 app2 ips（:5000 流量）的流量是隧道传输的，不需要打开。