当 Docker 启动时，会自动在主机上创建一个 docker0 虚拟网桥，实际上是 Linux 的一个 bridge，可以理解为一个软件交换机。它会在挂载到它的网口之间进行转发。
当创建一个 Docker 容器的时候，同时会创建了一对 veth pair 接口（当数据包发送到一个接口时，另外一个接口也可以收到相同的数据包）。这对接口一端在容器内，即 eth0；另一端在本地并被挂载到 docker0 网桥，名称以 veth 开头（例如 vethAQI2QT）。通过这种方式，主机可以跟容器通信，容器之间也可以相互通信。Docker 就创建了在主机和所有容器之间一个虚拟共享网络
容器访问控制
容器访问外部网络
容器要想访问外部网络，需要本地系统的转发支持。
容器之间访问
容器之间相互访问，需要两方面的支持。
- 容器的网络拓扑是否已经互联。默认情况下，所有容器都会被连接到 docker0 网桥上。
- 本地系统的防火墙是否允许通过。
默认情况下，不同容器之间是允许网络互通的。如果为了安全考虑，可以在daemon.json 文件中配置 {"icc": false} 来禁止它