一次centosDocker网桥模式无法访问宿主机Redis服务的故障排除经历

服务器

背景：

城步网站建设公司创新互联建站,城步网站设计制作，有大型网站制作公司丰富经验。已为城步上1000家提供企业网站建设服务。企业网站搭建\外贸网站建设要多少钱，请找那个售后服务好的城步做网站的公司定做！

之前做了一个项目，需要在容器内访问宿主机提供的Redis 服务（这是一个比较常见的应用场景哈），常规方案：

① 主机网络（docker run --network=host）：完全应用主机网络堆栈，在容器内localhost就是指向宿主机

② 网桥网络（docker run --network=bridge）: 这也是docker容器默认的网络通信模式，容器内localhost 指向的是容器自身，不能使用 localhost 访问宿主机上localhost:6379承载的Redis服务。

docker会默认建立docker0 网桥；
网桥有一个网关ip，有一个子网段；网桥内容器从子网段中确定容器ip（ ip addr eth0），网桥内容器可通过 service name相互访问；
网桥内容器通过 docker0 Getway得以访问外网。

不做骚操作，沿用常见的②网桥模式：

第一步：自定义网桥并应用该自定义网桥

docker network create --gateway 172.16.1.1 --subnet 172.16.1.0/24 app_bridge

docker run --network=app_bridge --name ......

# 以下截取自docker-compose.yml文件
......
networks:
 default:
 name: app_bridge
 external: true

为啥不利用默认docker0网桥？

本文开头已讲： docker0 是默认网桥，新建的容器默认都会加入这个网桥，所以我们需要建立一个专属于本程序的网桥app_bridge

第二步：容器内建立对应于宿主机的别名

为实现在容器内网桥模式访问宿主机localhost:6379 的服务，必须搭配docker 提供的 --add-host 选项（对应到docker-compose.yml这个配置是extra_host）。

docker run 的--add-host 选项能在 容器 /etc/hosts 文件增加行记录，便于我们使用该名称访问其他网络。

docker run -it --add-host dockerhost:172.16.1.1 ubuntu cat /etc/hosts
172.17.0.22 09d03f76bf2c
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
172.16.1.1 dockerhost

之后在程序的配置文件即可应用 dockerhost:6379 访问宿主机Redis服务。

------------------------------------------ 稍熟悉docker网络模型的朋友应该都能理解并完成上述操作-----------------------------------------------------

一个状况：

我在公司CentOS7机器上使用上述操作，容器内一直无法连通宿主机（容器间还是能正常访问）。

简化问题测试：新建容器，在容器内尝试ping docker0 网关，哔了狗了，4台公司机器都ping不通docker0网关，外网还是正常访问。

那这个问题就成了：使用默认的docker0网桥，容器内无法ping通docker0网关，进而无法访问宿主机。

呀呀呀呀，八成是公司机器的配置问题 ~。。~

追问公司运维同学，发现：

Chain INPUT （policy DROP）

以上INPUT链的缺省策略是丢弃：从容器内访问宿主机的INPUT链规则并不匹配其中列出的任意一条，将被丢弃，所以我们从容器ping docker0网关会卡住收不到结果。

除非满足列出的INPUT链规则，否则缺省的策略就是丢弃。
后面还有转发和OUTPUT链缺省是接受

这个策略的初衷是服务器安全（尼玛，导致容器访问宿主机的基础能力都没有了！！！）。

运维方案：

① 使用 sudo service iptables stop 关闭iptables

② 把要使用的网桥网段加入 INPUT链

sudo iptables -I INPUT -s 172.17.0.0/16 -j ACCEPT
【接受docker0子网段172.17.0.0/16 INPUT】加入规则，传送门

OK， That‘s All，以后若有朋友在公司网络遇到默认网桥容器内无法ping通网桥网关，进而无法访问宿主机，可参考本文排障。

总结

以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，谢谢大家对创新互联的支持。

本文名称：一次centosDocker网桥模式无法访问宿主机Redis服务的故障排除经历
链接URL：https://www.cdcxhl.com/article32/cpcosc.html

成都网站建设公司_创新互联，为您提供网站排名、品牌网站设计、网站改版、网站制作、网站收录、营销型网站建设

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源：创新互联

猜你还喜欢下面的内容