解決 docker 容器無(wú)法通過(guò) IP 訪(fǎng)問(wèn)宿主機(jī)問(wèn)題

CastlePeaK 發(fā)布于2019-06-28 16:56 / 4306人閱讀

摘要：?jiǎn)栴}起源在使用的過(guò)程中我不幸需要在容器中訪(fǎng)問(wèn)宿主機(jī)的端口而這個(gè)端口是另外一個(gè)容器端口映射出去的當(dāng)我在容器里通過(guò)的網(wǎng)橋訪(fǎng)問(wèn)宿主機(jī)時(shí)居然發(fā)現(xiàn)查找問(wèn)題原因可以確定的是容器與宿主機(jī)是有網(wǎng)絡(luò)連接的因?yàn)榭梢栽谌萜鲀?nèi)部通過(guò)通宿主機(jī)也可以在容器內(nèi)部訪(fǎng)問(wèn)其它

問(wèn)題起源

在使用 docker 的過(guò)程中我不幸需要在 docker 容器中訪(fǎng)問(wèn)宿主機(jī)的 80 端口, 而這個(gè) 80 端口是另外一個(gè)容器 8080 端口映射出去的. 當(dāng)我在容器里通過(guò) docker 的網(wǎng)橋 172.17.0.1 訪(fǎng)問(wèn)宿主機(jī)時(shí), 居然發(fā)現(xiàn):

curl: (7) Failed to connect to 172.17.0.1 port 80: No route to host

查找問(wèn)題原因

可以確定的是容器與宿主機(jī)是有網(wǎng)絡(luò)連接的, 因?yàn)榭梢栽谌萜鲀?nèi)部通過(guò) 172.17.0.1 Ping 通宿主機(jī):

root@930d07576eef:/# ping 172.17.0.1
PING 172.17.0.1 (172.17.0.1) 56(84) bytes of data.
64 bytes from 172.17.0.1: icmp_seq=1 ttl=64 time=0.130 ms

也可以在容器內(nèi)部訪(fǎng)問(wèn)其它內(nèi)網(wǎng)和外網(wǎng).
iptables 顯示也允許 docker 容器訪(fǎng)問(wèn):

# iptables --list | grep DOCKER
DOCKER-ISOLATION  all  --  anywhere             anywhere            
DOCKER     all  --  anywhere             anywhere            
Chain DOCKER (1 references)
Chain DOCKER-ISOLATION (1 references)

之后在查找一些資料后發(fā)現(xiàn)這個(gè)問(wèn)題: NO ROUTE TO HOST network request from container to host-ip:port published from other container.

解釋

正如 Docker Community Forms 所言, 這是一個(gè)已知的 Bug, 宿主機(jī)的 80 端口允許其它計(jì)算機(jī)訪(fǎng)問(wèn), 但是不允許來(lái)自本機(jī)的 Docker 容器訪(fǎng)問(wèn). 必須通過(guò)設(shè)置 firewalld 規(guī)則允許本機(jī)的 Docker 容器訪(fǎng)問(wèn).
gypark 指出可以通過(guò)在 /etc/firewalld/zones/public.xml 中添加防火墻規(guī)則避免這個(gè)問(wèn)題:

注意這里的 172.17.0.0/16 可以匹配 172.17.xx.xx IP 段的所有 IP.
之后重啟下防火墻:

systemctl restart firewalld

之后就可以在 docker 容器內(nèi)部訪(fǎng)問(wèn)宿主機(jī) 80 端口.

其它問(wèn)題

實(shí)際上當(dāng)我又用 vmware 新開(kāi)了一臺(tái)虛擬機(jī)希望能重現(xiàn)這個(gè)問(wèn)題的時(shí)候, 發(fā)現(xiàn)在新的虛擬機(jī)上居然沒(méi)有類(lèi)似的問(wèn)題. 也就是說(shuō)容器可以直接通過(guò)172.17.0.1訪(fǎng)問(wèn)宿主機(jī) 80 端口, 查看防火墻配置也沒(méi)看到有172.17.xx.xx的白名單.
猜測(cè)是由于在新的虛擬機(jī)安裝的 docker 是 Docker version 1.12.5, build 047e51b/1.12.5, 也就是 Red Hat 從 docker 開(kāi)源版本遷出開(kāi)發(fā)的版本, 而之前的是 Docker version 17.06.2-ce, build cec0b72 屬于 Docker-CE, 可能是 docker 版本有差異, Red Hat 順便把那個(gè) Known Bug 修復(fù)了.

GPU云服務(wù)器云服務(wù)器阿里云服務(wù)器無(wú)法通過(guò)ip訪(fǎng)問(wèn)網(wǎng)站解決阿里云服務(wù)器無(wú)法訪(fǎng)問(wèn)80端口的問(wèn)題設(shè)置禁止通過(guò)ip訪(fǎng)問(wèn) docker無(wú)法使用ip