Docker 容器网络接口深度解析：从 veth 到网桥的完整拓扑

在 Docker 容器化环境中，网络接口的配置与连接关系往往隐藏着容器通信的核心逻辑。本文基于一个真实运行 Portainer 和 WireGuard Easy 的 Linux 服务器，系统梳理 Docker 创建的各类网络接口及其互连方式。

一、Docker 网络接口概览

通过 ifconfig 命令查看，系统中共有 7 个网络接口，其中 3 个由 Docker 创建或管理：

1. docker0：Docker 默认网桥，IP 为 172.17.0.1/16，当前处于 NO-CARRIER 状态
2. br-cf11c3d7ebc2：自定义网桥，IP 为 172.18.0.1/16，状态 RUNNING
3. br-3dcf6375a34a：另一个自定义网桥，IP 为 172.19.0.1/16，状态 RUNNING

此外还有两个 veth（虚拟以太网）设备：

• veth0be9e0a
• veth1abc853

以及主机的物理网卡 eth0 和回环接口 lo。

二、通过 docker network ls 识别网络名称

执行 docker network ls 得到以下输出：

NETWORK ID	NAME	DRIVER
3e3a6a5bf28b	bridge	bridge
70c44d856781	host	host
023dadf581e4	none	null
cf11c3d7ebc2	portainer_default	bridge
3dcf6375a34a	wg-easy_default	bridge

由此可以明确：

• docker0 对应默认的 bridge 网络
• br-cf11c3d7ebc2 对应 portainer_default 网络
• br-3dcf6375a34a 对应 wg-easy_default 网络

三、veth 与网桥的连接关系

使用 bridge link show 命令可以精确查看每个 veth 归属于哪个网桥：

63: veth0be9e0a@eth0: master br-cf11c3d7ebc2 state forwarding
406: veth1abc853@eth0: master br-3dcf6375a34a state forwarding

对应关系：

• veth0be9e0a → br-cf11c3d7ebc2 → portainer_default 网络
• veth1abc853 → br-3dcf6375a34a → wg-easy_default 网络

四、Docker 的 veth 连接原理

veth 是一个虚拟以太网对（pair），就像一根虚拟网线：

• 一端在容器内部，通常命名为 eth0
• 另一端在宿主机上，命名为 vethXXXX（如 veth0be9e0a）

宿主机端的 veth 被加入到某个 Docker 网桥中，成为该网桥的一个端口。容器通过这个 veth pair 与同网桥下的其他容器或宿主机通信。

拓扑结构如下：

五、状态解读

• state forwarding：veth 处于正常转发状态，能够收发数据包
• master：指明该 veth 从属于哪个网桥
• @eth0：表示 veth pair 的另一端在容器内命名为 eth0
• docker0 无容器连接，因此处于 NO-CARRIER 状态

六、总结

在一个典型的 Docker 多容器环境中：

1. 每个自定义网络都会创建一个独立的 Linux 网桥
2. 每个运行中的容器通过一对 veth 设备连接到对应的网桥
3. veth 的宿主机端以 veth 前缀命名，容器端统一命名为 eth0
4. 通过 bridge link show 可以精确追踪每个 veth 所属的网桥

这种网络模型实现了容器间的逻辑隔离，同时保证了高效的二层通信能力。对于运维人员而言，理解 veth 与网桥的映射关系，是排查容器网络问题的基础技能。