Docker 动态增加端口映射？

docker 创立容器的时候，我们假如使用docker的桥接网络（bridge）那么一般需要暴露容器内少量端口到宿主机上，也就是容器与宿主机间的端口映射。最近很多的人问我，Docker 可以动态增加端口映射吗？这里统一回复下，正常思路下，docker是不支持动态增加端口映射的，由于我的容器是即可使用即创立，用完即销毁的，假如说你需要在一个运行的容器中增加新的端口映射，为啥不重建一个容器呢？我个人决定，这里是出现了两个问题，一个是设计初期没有考虑到端口映射导致实际运行之后需要增加新的端口映射，另一个是对容器的运行机制还是不是很清楚，容器的生命周期是短暂的不应该让一个容器成为一台7*24小时的虚拟机。

怎样处理？

刚刚我才说，docker是不可以动态增加端口映射，那还考虑什么处理方案呢？东西是死的，人是活的，docker不能动态增加，我们婉转点实现端口映射达到的效果不就行了。

目标明确，就是实现端口映射的效果。我准备从两个方向入手，一个docker的端口转发机制，另一个是docker的网络模式。

处理方案 - 端口转发

默认情况下我们docker容器是使用的桥接网络（bridge），说起桥接我们应该很熟习，它就是安装完docker之后就存在了。是docker 自带的三种常用网络模式之一，通过创立网桥和iptable规则将172.17.0.0/16网络与172.16.0.0/16网络连接，所谓的端口映射就是端口转发的意思，其余主机访问当前主机的容器网络时，访问当前主机的特定端口可以被转发到容器网络的特定端口，从而实现网络互通。原理都知道了，我们就设置iptable规则就行了。

# 获取你想要增加端口映射的容器的172.17.0.0/16网段的ip即container_ip
docker exec  ipaddr
# 增加转发规则,host_port宿主机端口，container_port容器端口
iptables -t nat -A DOCKER -p tcp --dport $host_port -j DNAT --to-destination $container_ip:$container_port 

处理方案就时这么简单，你可以尝试一下，不过真心建议还是重建容器，这样尽管能解一时的问题，但是并不能治本。

处理方案 - 更换网络模式

端口映射是桥接网络才需要的，那host网络和macvlan网络是完全不需要的。

host网络顾名思义就是主机网络，也就是说你的容器和你的主机使用一套网络栈，容器内的网卡其实就是主机网卡，不过我想是没有人会愿意使用host网络来处理动态增加端口映射问题。不过这也是一个方法，使用host网络很简单，在创立容器的时候指定 --network=host

docker run -itd --privileged --name host_container --network=host centos

macvlan网络，这个是我最喜欢使用的docker网络之一。macvlan是docker自己开发的跨主机容器网络，macvlan强大之处在于性能极好，由于它不走桥接网络还是直接通过以太 interface 连接到物理网络，听不太懂，没关系我解释给你听。macvlan 是通过linux 内核板块允许一个物理网卡可以配置多个mac地址 ，这些mac上也配置了ip，所以使用了macvlan网络模式的容器，可以自己走自己的ip网卡出去，实际上还是一个物理网卡上出去的。唯一的不足之处是你在当前容器中不能ping或者者联通当前容器所在主机的IP地址，这是由于通信因为安全性和隔离性被内核板块阻拦了。

所以说你容器使用了macvlan网络，你还会担心动态增加端口映射的问题吗？根本不存在！好吧我们来实现少量macvlan网络。

# 打开网卡的混杂模式，只有在混杂模式下你才能让一个网卡配置多个mac
ip link set <网卡名> promisc on
# 创立macvlan网络 
docker network create -d macvlan --subnet=<子网 eg: 172.16.0.0/16> --gateway=<网关 eg: 172.16.1.1> -o parent=<网卡名 eg: eth0 > macvlan_net_external
# 创立使用macvlan网络的容器
docker run -itd --privileged --name macvlan_container --ip 172.16.1.111 --network macvlan_net_external centos /bin/bash

总结

两个处理方案，端口转发是属于事后处理方案，更换容器网络属于事先处理方案。假如大家真的在生产环境中遇到了服务不能暂停，容器不能重建但是仍需要增加端口映射的情况，可以参考一下。至于你用了编排工具创立了服务，容器有很多的话，我个人建议你可以尝试服务逐渐升级策略，例如redis服务，service通过；--update-parallelism 设置并行升级的副本数目，通过 --update-delay 指定滚动升级的间隔时间 ，实现升级策略。这样也可以实现动态增加端口映射的效果。