docker - 在没有 "--net host"的情况下，在通过 SSH 连接的服务器上可靠地在 Docker 容器中运行 X 应用程序

Question

如果没有 Docker 容器，使用 SSH X11 转发 (ssh -X) 在远程服务器上运行 X11 程序很简单。当应用程序在服务器上的 Docker 容器中运行时，我试图让同样的事情正常工作。当使用 -X 选项通过 SSH 连接到服务器时，会设置 X11 隧道，并且环境变量“$DISPLAY”会自动设置为通常为“localhost:10.0”或类似的。如果我只是尝试在 Docker 中运行 X 应用程序，我会收到以下错误:

Error: GDK_BACKEND does not match available displays

我的第一个想法是使用“-e”选项将 $DISPLAY 实际传递到容器中，如下所示:

docker run -ti -e DISPLAY=$DISPLAY name_of_docker_image

这有帮助，但不能解决问题。错误信息变为:

Unable to init server: Broadway display type not supported: localhost:10.0
Error: cannot open display: localhost:10.0

在网上搜索后，我发现我可以做一些 xauth 魔法来修复身份验证。我添加了以下内容:

SOCK=/tmp/.X11-unix
XAUTH=/tmp/.docker.xauth
xauth nlist $DISPLAY | sed -e 's/^..../ffff/' | xauth -f $XAUTH nmerge -
chmod 777 $XAUTH
docker run -ti -e DISPLAY=$DISPLAY -v $XSOCK:$XSOCK -v $XAUTH:$XAUTH \ 
  -e XAUTHORITY=$XAUTH name_of_docker_image

但是，这仅在将“--net host”添加到 docker 命令时才有效:

docker run -ti -e DISPLAY=$DISPLAY -v $XSOCK:$XSOCK -v $XAUTH:$XAUTH \ 
  -e XAUTHORITY=$XAUTH --net host name_of_docker_image

这是不可取的，因为它使整个主机网络对容器可见。

为了让它在没有“--net host”的 docker 中的远程服务器上完全运行，现在缺少什么？

Answer 1

我想通了。当您通过 SSH 连接到计算机并使用 X11 转发时，/tmp/.X11-unix 不会用于 X 通信，并且不需要与 $XSOCK 相关的部分。

任何 X 应用程序都使用 $DISPLAY 中的主机名，通常是“localhost”并使用 TCP 连接。然后通过隧道返回到 SSH 客户端。在 Docker 中使用“--net host”时，Docker 容器的“localhost”与 Docker 主机相同，因此可以正常工作。

当不指定“--net host”时，Docker 使用默认的桥接网络模式。 这意味着“localhost”意味着容器内的其他东西而不是主机，容器内的X应用程序将无法通过引用“localhost”看到X服务器。因此，为了解决这个问题，必须将“localhost”替换为主机的实际 IP 地址。这通常是“172.17.0.1”或类似的。检查“docker0”接口(interface)的“ip addr”。

这可以通过 sed 替换来完成:

DISPLAY=`echo $DISPLAY | sed 's/^[^:]*\(.*\)/172.17.0.1\1/'`

此外，SSH 服务器通常不配置为接受到此 X11 隧道的远程连接。然后必须通过编辑 /etc/ssh/sshd_config(至少在 Debian 中)和设置来更改:

X11UseLocalhost no

然后重启SSH服务器，用“ssh -X”重新登录服务器。

差不多就是这样，但还有一个复杂的问题。如果 Docker 主机上正在运行任何防火墙，则必须打开与 X11 隧道关联的 TCP 端口。端口号是 $DISPLAY 中 : 和 . 之间的数字加上 6000。

要获取 TCP 端口号，可以运行:

X11PORT=`echo $DISPLAY | sed 's/^[^:]*:\([^\.]\+\).*/\1/'`
TCPPORT=`expr 6000 + $X11PORT`

然后(如果使用 ufw 作为防火墙)，为 172.17.0.0 子网中的 Docker 容器打开此端口:

ufw allow from 172.17.0.0/16 to any port $TCPPORT proto tcp

所有命令都可以放在一个脚本中:

XSOCK=/tmp/.X11-unix
XAUTH=/tmp/.docker.xauth
xauth nlist $DISPLAY | sed -e 's/^..../ffff/' | sudo xauth -f $XAUTH nmerge -
sudo chmod 777 $XAUTH
X11PORT=`echo $DISPLAY | sed 's/^[^:]*:\([^\.]\+\).*/\1/'`
TCPPORT=`expr 6000 + $X11PORT`
sudo ufw allow from 172.17.0.0/16 to any port $TCPPORT proto tcp 
DISPLAY=`echo $DISPLAY | sed 's/^[^:]*\(.*\)/172.17.0.1\1/'`
sudo docker run -ti --rm -e DISPLAY=$DISPLAY -v $XAUTH:$XAUTH \
   -e XAUTHORITY=$XAUTH name_of_docker_image

假设您不是 root，因此需要使用 sudo。

您可以运行以下命令，而不是 sudo chmod 777 $XAUTH:

sudo chown my_docker_container_user $XAUTH
sudo chmod 600 $XAUTH

防止服务器上的其他用户在知道您创建/tmp/.docker.auth 文件的目的时也能够访问 X 服务器。

我希望这应该使它在大多数情况下都能正常工作。