Docker容器的官方镜像仓库

一、 官方镜像仓库介绍

镜像仓库分类
公有仓库
私有仓库
官方镜像仓库属于公有仓库
网址: hub.docker.com 网站名称:dockerhub

注册邮箱

创建仓库
创建自己的仓库

登录仓库
web界面登录
linux命令行登录

直接docker login 输入用户名和密码

这个自己创建的存储库一般只有pull时才会登录

1.1 公有仓库容器镜像上传和下载

push上传

把本地的centos容器镜像打一个tag标签到自己的dockerhub存储库

然后会产生一个一模一样的镜像

登录dockerhub,然后docker push 上传到自己的存储库 v1是自定义的tag

nginx应用镜像的 上传

最好在自己dockerhub里面重新创建一个repository

上传之前必须先给要上传的镜像打tag标签并指定自己的仓库位置

docker tag centos-nginx:tag 用户名/仓库：tag

pull下载

下载之前必须先退出登录dockerhub (hub.docker.com)

docker pull 用户名称/仓库：tag

二、镜像加速器

镜像加速器主要目的在于加快用户下载容器镜像速度
因为dockerhub存储库在国外，下载很慢

2.1 docker 中国镜像加速器

官网：

1.Docker中国区官方镜像
https://registry.docker-cn.com
2.网易
http://hub-mirror.c.163.com
3.中国科技大学
https://docker.mirrors.ustc.edu.cn

永久配置方法

第一步 修改/usr/lib/systemd/system/docker.service

第二步 编辑/etc/docker/daemon.json

{

    "registry-mirrors": ["https://registry.docker-cn.com"]

    可以加其他镜像源也行

}

第三步 重启docker daemon
systemctl daemon-reload systemctl restart docker

pull下载镜像会快一点

2.2 阿里云镜像加速器

点击工作台之后直接搜索容器镜像服务，选择镜像工具里面的镜像加速器

直接复制粘贴到daemon.json使用就行 多个镜像源可以用逗号隔开

最后restart docker 就行

三、docker本地容器镜像仓库

作用
在局域网内使用，避免无法连接外网
方便与其它系统进行集成，例如自动安装，自动上传

上传下载大镜像时

3.1 使用registry容器镜像实现本地非安全镜像仓库

第一步：下载registry注册表 容器镜像

第二步：创建目录用于挂载registry镜像启动的容器，便于容器镜像数据持久化

mkdir /opt/dockerregistry 用于挂载registry镜像启动的容器

第三步：启动容器获取镜像仓库

-d 后台启动 --restart 容器重启策略，docker主机关机之后开机就会自动重启容器 always 是重启策略的值 -v 添加volume卷也就是把目录当成挂载卷了 ：后面就是挂载的容器镜像位置

第四步：验证是否可用

在daemon.json里面加上"insecure-registries": ["http://192.168.122.33:5000"],

逗号是隔开键值对

私有仓库添加完成之后restart docker

之前是上传镜像需要给自己的公有仓库打tag标签，私有仓库也需要打tag标签才能上传

之前挂载目录是没有文件的，因为打了tag标记之后上传了centos镜像才有数据

另外一台主机可以ping -c 次数 docker服务器ip

在其他主机中下载使用私有仓库中的镜像很快

下载容器镜像一秒钟就好

3.2 使用Harbor实现本地通过web进行管理的非安全仓库

vmware公司开源 良好的中文界面 web管理界面 使用广泛

3.2.1 工具准备

使用docker-compose工具进行启动

准备安装docker-compose有工具-pip
pip类似于yum，用于批量安装python模块及解决python模块依赖

pip工具准备

先安装epel源

yum -y install epel-release

yum -y install python2-pip

pip list 和yum list 一样可查看软件的version

最后的说明是pip最新版是19.1可以考虑upgrade升级

docker-compose工具准备

requests模板可以ignore忽略安装

如果是centos7可以不用忽略直接pip install docker-compose

gihub上的操作文档readme.md +号代表版本必须大于

点击release 可以查看版本主线 推荐使用offline离线下载

下载之后的压缩包可以上传到docker服务器并解压

tar xf harbor.....

然后在cd到harbor目录，vim harbor.cfg

配置只需要修改一下hostname=docker主机ip

默认harbor密码是Harbor12345

启动harbor

运行prepare脚本

./install.sh 运行安装脚本

如果想停止harbor可以

docker-compose stop

开启harbor可以使用

docker-compose up -d

都是通过docker-compose.yml文件启动harbor的

web访问harbor直接访问docker主机ip之后输入默认密码就行

3.2.2 上传镜像到harbor镜像私有仓库

第一步：在daemon.json中添加此仓库地址

之后restart docker

会发现health状态都是starting正在启动，需要等一会儿

第二步：给需要上传的镜像打标记

根据harbor镜像仓库的提示打标记

打tag标记 资源镜像 标记用户/library/镜像名称

第三步:上传镜像到harbor镜像私有仓库
上传和dockerhub仓库一样，需要先登录才能上传

在其他主机访问私有harbor镜像

访问镜像都必须修改daemon.json文件指定不安全的注册表和容器镜像源的ip

pull容器镜像到本地

速度比加速器快很多

四、docker网络

4.1 本地网络

本地网络类型
bridge NAT模式，可使容器连接外网
host 与主机共享网络，可使容器连接外网

none 容器仅有lo网卡，无法连接外网
联盟网络 容器间共享同一个网络命名空间，实现容器间数据传输（例如数据库服务器和nginx服务器间的数据通信传输）

bridge 桥接

docker 查看网络 ls

使用--network选项选择容器网络

每一台docker host上的docker0所在网段完全一样。

host

所有的容器与docker host在同一网络中，可以让容器访问，甚至可以让外网主机访问容器中的服务

任何主机都可以随时访问docker host的ip 就能访问容器的运行的服务

4.2 跨主机容器间网络

容器的主机相当于局域网，所以不能跨主机去访问容器

其实就和vpn一样，用户要访问局域网，可以通过在客户端安装vpn之后覆盖网络直接连接局域网的vpn实现访问

etcd其实就路由表数据库

Flannel工作原理

是Overlay网络，即覆盖型网络
通过etcd保存子网信息及网络分配信息

给每台Docker Host分配置一个网段通过UDP传输数据包

部署flannel

环境说明
node1
安装软件etcd flannel docker

node2
安装软件flannel docker

主机配置

1、设置主机名

systemctl set-hostname node1

2、配置/etc/hosts

3、安全配置

4、安装软件

node1
安装软件etcd flannel docker

node2
安装软件flannel docker

5、配置etcd数据库

主要就是添加2379和4001监听客户端地址和通知客户端地址

设置开机自启enable并启动etcd数据库

查看端口号和etcd进程

测试etcd是否可以存取数据及cluster的healthy

配置flanner

vim /etc/sysconfig/flanneld

etcd:2379

atomic.io/network

在etcd数据库添加一个网段

etcdctl mk 配置的ip可以随意

启动flannel服务

ip a s 查看ip会发现多了一个flannel0

配置flannel和docker

第一步：查看subnet子网信息

MTU不能超过1500,flannel是覆盖型网络

第二步：配置docker daemon

修改docker的/etc/docker/daemon.json

重启docker之后会发现flannel0和docker0在同一网段

启动容器验证网络

node2 的docker host也是 这样配置的

flannel自动覆盖之前的docker0 并给多台docker 主机中的容器分配ip

测试分别在node1、node2创建容器，观察容器IP地址情况

可以ping 容器的ip a s

注意：flannel0的ip、docker0的ip 、容器的ip都是独立的

唯一的关系是flannel0的ip和docker0的ip是同一网段

正常情况是node1和node2的容器ip和docker0网桥ip都可以 ping 通

node1 中的容器 ip 172.20.22.2 docker0网桥ip 172.20.22.1

node2 中的容器 ip 172.20.13.2 docker0网桥ip 172.20.13.1

docker exec 容器id ping -c 3 node2 node1ping不通node2的容器ip

docker exec 容器id ping -c 3 node1 node1ping通自己的docker0网桥

node1 ping node2的13.1网桥也能通

可以docker ps 查看容器id 之后再ping

如果发现容器之间无法ping通就修改iptables策略

虽然firewalld防火墙关闭了，但是iptables还在

iptables策略配置

• 转发策略开启：iptables -P FORWARD ACCEPT
• 查看nat路由配置：iptables -t nat -L
• iptables -F 指令是用来清除所有规则的，线上环境慎用！！！。使用的时候需要注意一下，如果策略模式不是 ACCEPT 的话，盲目使用可能会导致网络立马中断或者其他不可预估的错误。

每台主机都必须配置 开启转发策略 把nat路由配置规则DROP修改成ACCEPT