bridge（ブリッジ）
英語表記: bridge
概要
コンテナ技術（DockerやPodman）において、「ブリッジ」ネットワークモードは、コンテナがネットワークに接続するためのデフォルトかつ最も一般的な方法です。これは、ホストOS上に仮想的なスイッチ（ブリッジ）を作成し、そのスイッチを通じてコンテナ同士が通信したり、外部ネットワークと通信したりすることを可能にする仕組みです。このモードの最大の魅力は、コンテナをホストOSから論理的に隔離しながら、同時に必要な通信経路を確保できる点にあります。
詳細解説
目的と背景：隔離と接続の両立
私たちがコンテナネットワークの文脈で「ブリッジ」を考えるとき、その核心的な目的は「隔離された環境（コンテナ）に、いかにして安全かつ柔軟な通信手段を提供するのか」という点にあります。ブリッジネットワークは、コンテナ技術（Docker, Podman）の主要な特徴である分離性を保ちつつ、アプリケーションとして機能するために不可欠な接続性を実現します。
コンテナは通常、ホストOSとは異なるプライベートなネットワーク空間に存在します。しかし、ウェブサーバーとして動かすには外部からのアクセスが必要ですし、データベースコンテナと連携するには他のコンテナとの通信が必要です。ブリッジネットワークは、このプライベートな空間と外部の世界を結ぶ「架け橋」の役割を担っているのです。これは、コンテナ技術（Docker, Podman） → コンテナネットワーク → ネットワークモードという階層において、最も標準的で汎用性の高い解決策を提供していると言えますね。
主要コンポーネントと動作原理
ブリッジネットワークを構成する主要な要素は、ホストOS上に作成される以下のコンポーネントです。これらの連携によって、コンテナはまるで独立したマシンであるかのように振る舞うことができます。
-
仮想ブリッジインターフェース（例:
docker0）:
これはホストOS上にソフトウェア的に作成される仮想的なレイヤー2（データリンク層）のスイッチです。物理的なスイッチと同じように、接続された複数のインターフェース間のトラフィックを転送する役割を持ちます。Dockerの場合、このインターフェースは通常docker0という名前で知られています。すべてのコンテナは、この仮想スイッチに接続されます。これが、コンテナ間の通信を可能にする土台となります。 -
仮想ネットワークインターフェースペア（veth pair）:
コンテナがブリッジに接続するために使用されるのが、この仮想的なケーブルのようなものです。veth pairは常に2つで一組となっており、一方の端はコンテナ内部のネットワークインターフェース（例:eth0）となり、もう一方の端はホストOS側の仮想ブリッジ（docker0など）に接続されます。これにより、コンテナ内のデータはホストOSの仮想ブリッジを経由して流れることができます。これは、コンテナのネットワークスタックをホストOSに接続するための非常に巧妙な仕組みだと感心しますね。 -
IPアドレス管理とNAT（Network Address Translation）:
ブリッジネットワーク内のコンテナには、ホストOSのプライベートレンジ（例: 172.17.0.0/16など）からIPアドレスが自動的に割り当てられます。コンテナ同士はこのプライベートIPを使って直接通信できます。しかし、コンテナが外部インターネットと通信する場合、ホストOSはIPマスカレード（NATの一種）を使用して、コンテナのプライベートIPをホストOSのグローバルIPに変換します。これにより、外部からはコンテナの存在が隠蔽され、セキュリティが向上します。外部からのアクセスを受け付ける場合は、ホストOSの特定のポート（ポートマッピング）を経由させる必要があります。
ネットワークモードの中での位置づけ
コンテナネットワークの「ネットワークモード」の中で、ブリッジモードは最も「バランスの取れた」選択肢だと言えます。
- ホストモード（host mode）がコンテナにホストOSとネットワークスタックを共有させることで高速化を図るのに対し、ブリッジモードは分離性を優先します。ネットワークの分離はセキュリティ上、非常に重要です。
- Noneモード（none mode）がコンテナに一切ネットワークを与えない（完全に隔離する）のに対し、ブリッジモードは通信性を提供します。
したがって、ブリッジモードは、セキュリティと柔軟性、そして使いやすさを高次元で両立させた、まさにコンテナ技術（Docker, Podman）の「標準装備」とも言うべき存在なのです。
具体例・活用シーン
ブリッジネットワークモードは、ほぼすべての標準的なコンテナアプリケーションのデプロイメントで利用されています。特に、複数のサービスを連携させる場合にその威力を発揮します。
-
ウェブアプリケーション環境の構築:
- 一般的な三層構造のウェブアプリケーション（フロントエンド、アプリケーションロジック、データベース）をコンテナ化する際、これらすべてを同じブリッジネットワークに接続します。
- 例えば、ユーザーからのリクエストを受け付けるNginxコンテナと、実際の処理を行うAPIコンテナ、データを保持するPostgreSQLコンテナを考えます。
- これらのコンテナが同じブリッジネットワーク内にいれば、APIコンテナはPostgreSQLコンテナに対して、ホストOSのネットワーク設定を気にすることなく、プライベートなIPアドレスやコンテナ名（サービスディスカバリ機能を利用）を使って簡単にアクセスできます。
- 外部のユーザーからは、ホストOSの特定のポート（例: 80番ポート）を通じてNginxにのみアクセスが許可され、内部のデータベースコンテナは外部から直接アクセスされることなく保護されます。この分離された環境こそがブリッジモードの大きなメリットです。
-
比喩：アパートの専用交換局
ブリッジネットワークの仕組みは、巨大なアパートやマンション（ホストOS）の中に設置された専用の郵便交換局のようなものだと考えると、初心者の方にもわかりやすいと思います。- 各部屋（コンテナ）は、アパート内部でのみ有効な専用の住所（プライベートIP）を持っています。外部の地図には載っていません。
- 部屋同士で手紙（データ）をやり取りする場合、この専用交換局（仮想ブリッジ）を経由してすぐに届きます。これは、同じブリッジネットワーク内のコンテナが非常に簡単に通信できることを意味します。
- しかし、部屋から外部（インターネット）に手紙を送りたい場合、一度専用交換局に渡されます。交換局は、手紙の差出人住所をアパート全体の代表住所（ホストOSのグローバルIP）に書き換えて（NAT処理）、外部に配送します。これにより、外部からは「このアパートから来た」ことしか分からず、具体的な部屋番号（コンテナのプライベートIP）は隠されます。
- 外部からの返信がアパートの代表住所に届くと、交換局は元の部屋
