1

场景是这样的：

在 Linux 机器的容器中运行着一个应用程序。该应用程序内部运行了多个服务，每个服务都有自己的端口号。端口号非常随机。

现在我想在 Mac 笔记本电脑上访问这个应用程序。这台 Mac 笔记本电脑能够 ping Linux 机器 ip。

我目前正在做的一种方法是将所有端口从 docker 容器映射到 Linux 机器，然后我可以使用 Linux 机器 IP 从 Mac 访问。

但是这种方法不能随着更多服务的加入而扩展。我想知道是否有人遇到过同样的问题并有更好的方法来处理这个问题？我们不在这些 Linux 机器上运行 Kubernetes，因为它们不是服务器。这些机器用于个人发展。

谢谢！

4

1 回答 1

1

Docker 没有在创建容器后映射端口或修改现有端口映射的功能。

通常的解决方案是将您的应用程序配置为使用一组端口或端口范围。如果这是不可能的，那么有几个选项可以解决这个问题。

主机网络

使用docker run --network=host. 容器共享主机网络堆栈，因此可在主机 IP 上使用。请注意，因为这使容器可以访问主机网络，因此可能会干扰主机服务或将更多主机暴露给容器。

可路由的，用户定义的网络。

为您的容器创建一个用户定义的网络，并为其分配一个网络可以路由到 Docker 主机的 IP 范围。侦听容器端口的服务可以直接寻址。

docker network create \
    --subnet=10.1.3.0/24 \
    -o com.docker.network.bridge.enable_ip_masquerade=false \
    routable

需要将新 docker 网络的路由添加到您的网络网关，以便它们可以通过您的 Docker 主机路由流量。在 Linux 上，这将类似于：

ip route add 10.1.3.0/24 via $DOCKER_HOST_IP

然后你应该能够正常传输数据

docker run --net=routable --rm -it alpine ping $DOCKER_HOST_GATEWAY_IP

麦克兰桥

Docker 有一个macvlan 网络驱动程序，允许您将主机接口映射到容器中，有点像 VM 中的桥接接口。然后容器可以在与主机相同的网络上具有接口。

docker network create -d macvlan \
    --subnet=10.1.2.0/24 \
    -o macvlan_mode=bridge \
    -o parent=enp3s0 macvlan
docker run --net=macvlan --ip=10.1.2.128 --rm -it alpine ping 10.1.2.1

请注意，您无法通过此网桥与 docker 主机 IP 地址进行通信。您可以将 macvlan 子接口添加到主机并将主机 IP 地址移动到其上以允许流量。

一些虚拟机和虚拟网络对拥有额外的 MAC 地址变得挑剔，他们不知道如何生成数据。例如，AWS EC2 将拒绝容器流量。

容器iptables

可以在容器命名空间中创建 iptables NAT 规则。要在容器内执行此操作，容器需要该NET_ADMIN功能。某种形式的脚本可以在启动后查找应用程序端口，并使用DNAT规则将流量从静态外部映射端口转发到动态应用程序端口。

docker run -p 5000:5000 --cap-add=NET_ADMIN debian:9
# port=$(ss -lntpH | awk '/"app-bin"/ { split($4,a,":"); print a[length(a)]; exit}')
# iptables -t nat -A -p tcp -m tcp --dport 5000 -j DNAT --to-destination 127.0.0.1:$port

iptables如果您不想将功能添加到容器，您可以类似地从 docker 主机添加容器网络命名空间的规则NET_ADMIN。主机需要一点帮助才能使用容器名称空间

pid=$(docker inspect -f '{{.State.Pid}}' ${container_id})
mkdir -p /var/run/netns/
ln -sfT /proc/$pid/ns/net /var/run/netns/$container_id
ip netns exec "${container_id}" iptables -t nat -vnL
于 2017-12-13T11:52:19.673 回答