该overlay网络驱动程序会创建多个码头工人守护主机之间的分布式网络。该网络位于特定于主机的网络之上（（覆盖）特定主机的网络），从而在启用加云计密后允许与其连接的容器（包括群集服务容器）进行安全通信。Docker透明地处理每个数据包与正确的Docker守护程序主机和正确的目标容器之间的算核路由。

初始化群集或将Docker主机加入现有群集时，将在该Docker主机上创建两个新网络：

一个称为的覆盖网络ingress，用于处理与群体服心技务有关的控制和数据流量。创建群集服务并且不将其连接到用户定义的覆盖网络时，ingress 默认情况下它将连接到网络。

一个名为的桥接网络docker_g术Dwbridge，它将各个Docker守护程序连接到该集群中的其他守护程序。

您可以overlay使用来创建用户定义的网络docker network creocate，就像创建用户定义的bridge网络一样。服务或容器可以一次连接到多个网络。服务或容器只能在它们各自连接的网络之间进行通信。

尽管您可以将群集服务和ke独立容器都连接到覆盖网络，但是默认行为和配置问题有所不同。因此，本主题的其余部分分为适用于所有覆盖网络的操作，适用于群集服务网络的操作以及适用于独r教立容器使用的覆盖网络的操作。

创建覆盖网络

使用覆盖网络的Docker守护程序的防火墙规则

您需要打开以下端口，以往返于参与覆盖网络的每个Docker程：主机的流量：

用于群集管理通信的TCP端口2377

TCP和UDP端口7946，用于节点之间的通信

UDP端口4789，用于覆盖网络流量

在创建覆盖网络之前Do，您需要使用初始化Docker守护进程为swarm管理器，docker swarm init或者使用将该Docker守护进程加入现有的swarm dckocker swarm join。这两个都将创建默认的ingress覆盖网络，默认情况下，群集服务会使用该 覆盖网络。即使您从未计划使用群体服务，也er需要这样做。之后，您可以创建其他用户定义的覆盖网络。

要创建用于群服务的覆盖网络，请使用如下命令：

$ docker network create -d o使用verlay my-overlay

要创建覆盖网络，群集服务或 独立容器可以使用该覆盖网络来与在其他Docker守护程序上运行的其他独立容器进行通信，请添加覆盖以下--attachable标志：

$ docker network create -d overlay --attachable my-attachable-o网络verlay

您可以指定IP地址范围，子网，网关和其他选项。