Tổng kết module Container Networking

TL;DR: Module 2 ghép plumbing Linux thành mạng container: network namespace (stack riêng) → veth (cáp hai đầu) → bridge (LAN ảo kiểu docker0) → SNAT/MASQUERADE (ra Internet) → DNAT (publish port) → debug bằng nsenter/tcpdump đúng view. Docker không viết stack TCP mới — nó script các bước đó. Bookmark trang này: cheat sheet lệnh, map netns→NAT, glossary, self-assessment trước khi sang Module 3 (pod = netns, Service = DNAT scale).

Đã đi qua những gì

Bạn bắt đầu từ isolation: mỗi container bridge mode cổ điển là một netns — iface, route, iptables, socket riêng; 127.0.0.1 host ≠ 127.0.0.1 container. Netns mới thường chỉ có lo DOWN — quên ip link set lo up là trap đầu tiên.

Tiếp theo cáp: veth pair nối hai netns (hoặc netns–host); cả hai đầu UP, IP/route khớp → ping. Mini-challenge ghép netns + veth + bridge + gateway trên bridge — đúng mô hình docker0 không cần Docker daemon, chưa cần SNAT/DNAT.

Rồi hai chiều NAT: egress = ip_forward + filter FORWARD + nat POSTROUTING (MASQUERADE/SNAT); inbound publish = DNAT PREROUTING + FORWARD vào container — map 1-1 với docker run -p. Cuối cùng debug: vào đúng netns (nsenter -t <pid> -n / ip netns exec), survey L2→L3→NAT host→app, tcpdump đúng điểm trên path.

Bản đồ ghép (khái niệm):

flowchart LR
    NS["1. Network namespace<br/>isolated stack"] --> VETH["2. veth pair<br/>cable 2 ends"]
    VETH --> BR["3. Bridge<br/>docker0-style LAN"]
    BR --> SNAT["4. SNAT / MASQUERADE<br/>egress"]
    SNAT --> DNAT["5. DNAT<br/>publish port"]
    DNAT --> DBG["6. Debug<br/>nsenter / tcpdump"]

🗺️ Cheat sheet

ip netns — tạo / vào / dọn

Trap: netns mới ≈ chỉ lo, và lo mặc định DOWN → sudo ip netns exec c1 ip link set lo up.

veth — nối hai netns (hoặc netns–host)

Quy tắc: luôn kiểm cả hai đầu UP và peer còn tồn tại trước khi đổ lỗi iptables/app.

Bridge — Docker-style LAN (lab mini-challenge)

Acceptance LAN bridge: ping c1↔c2 không cần SNAT/DNAT/ip_forward ra WAN — path L2/L3 nội bridge.

NAT — SNAT egress + DNAT publish

flowchart LR
    subgraph EGRESS["Egress"]
        C1["Container"] --> BR1["Bridge"]
        BR1 --> FW1["FORWARD"]
        FW1 --> POST["POSTROUTING<br/>MASQUERADE"]
        POST --> WAN["WAN"]
    end

flowchart LR
    subgraph INGRESS["Publish port"]
        CLI["Client"] --> HOST["Host:8080"]
        HOST --> PRE["PREROUTING<br/>DNAT"]
        PRE --> FW2["FORWARD"]
        FW2 --> CTR["Container:80"]
    end

Hai câu tách lỗi ngay:

1. Ping peer cùng bridge OK, Internet fail → soi ip_forward, FORWARD, POSTROUTING MASQUERADE — không soi INPUT host trước.
2. DNAT counter tăng nhưng app im → thường FORWARD DROP hoặc app không listen trong netns (sai view ss).

Debug — nsenter / tcpdump / runbook

Runbook L2 → L3 → NAT host → app (đừng nhảy thẳng iptables -L INPUT):

1. L2: link UP, veth pair, master bridge, FDB/ARP sau traffic.
2. L3: addr + route trong đúng netns.
3. NAT/filter host (nếu path ra/vào WAN/publish): ip_forward, FORWARD, nat PRE/POST.
4. App: ss -lntp trong ns (TCP); ICMP không cần listen.

📖 Glossary module

⚠️ Pitfall tổng hợp

• "ss / curl localhost trên host = app container." Sai netns — 127.0.0.1 không chung.
• "Quên lo up trong netns mới." Loopback fail dù “đã có lo”.
• "Chỉ up một đầu veth." Peer DOWN = im lặng; luôn kiểm cả pair.
• "Ping bridge fail → thêm MASQUERADE ngay." LAN bridge trước hết là L2/L3; NAT cho path ra ngoài/publish.
• "Container không ra net → soi INPUT / UFW host." Path egress = FORWARD + POSTROUTING, không phải INPUT sshd.
• "Có DNAT là publish xong." Còn FORWARD + app listen đúng port trong container; bind publish 127.0.0.1 chỉ local host.
• "Debug bằng restart Docker / flush nat." Vào đúng ns, layer-by-layer, tcpdump; flush nat phá production và thường sai tầng.
• "macOS Docker Desktop = cùng view ip netns." Lab netns/veth/bridge/iptables cần Linux kernel (VM/WSL2 đủ netns).

✅ Self-assessment

Bạn đã đạt module này nếu trả lời được:

• Implement network namespace và nối chúng bằng veth pair có IP/route đúng
  • Nếu chưa: đọc lại 01 — Network namespaces + 02 — Nối container bằng veth; lab ip netns add/exec, up lo, move veth, ping hai chiều.
• Implement một Docker-style bridge network from scratch không cần Docker
  • Nếu chưa: làm lại 03 — Mini-challenge bridge from scratch: 2 netns + bridge + veth + IP cùng subnet + gateway trên bridge → ping chéo.
• Trace đường gói container ra Internet (SNAT/MASQUERADE) và inbound publish port (DNAT)
  • Nếu chưa: 04 — SNAT/MASQUERADE (forward + POSTROUTING) và 05 — DNAT publish (PREROUTING + docker -p).
• Diagnose sự cố mạng container bằng nsenter, route/iptables trong netns và tcpdump
  • Nếu chưa: 06 — Debug nsenter / tcpdump; runbook L2→L3→NAT→app, capture đúng điểm.

Bài tiếp theo — Module 3

Bạn đã tự tay dựng mô hình Docker bridge + NAT. Module 3 scale cùng plumbing lên cluster: pod ≈ netns (+ shared netns multi-container), CNI script veth/bridge/route thay daemon Docker, Service / kube-proxy = DNAT (và biến thể) ở quy mô nhiều node, Ingress L7, NetworkPolicy filter theo identity.

Bắt đầu Module 3: Tổng quan — Kubernetes Networking