docker - getsockopt 异常失败 : Operation not permitted in Docker-Compose

Question

尝试使用 docker-compose 启动 docker-swarm 时，我遇到了一个奇怪的错误。我正在尝试使用以下(简要)教程将使用 HAProxy 的 docker-compose swarm 转换为使用 letsencrypt ssl。您可以在此处查看教程:http://blog.armstrongconsulting.com/?p=392 .

这是我的 docker-compose 文件:

version: '3.3'
services:
  back:
    image: patientplatypus/lowtechback:latest
    ports:
      - '5000:5000'
    deploy:
      replicas: 3
      restart_policy:
       condition: on-failure
       max_attempts: 5
       window: 120s
    networks:
      - web
  front:
    image: patientplatypus/lowtechfront:latest
    ports:
      - '80:3000'
    depends_on:
      - back
    deploy:
      replicas: 3
      restart_policy:
       condition: on-failure
       max_attempts: 5
       window: 120s
    networks:
      - web
  proxy:
    # image: dockercloud/haproxy
    image: nmarus/haproxy-certbot
    depends_on:
      - back
      - front
    environment:
      - BALANCE=leastconn
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    ports:
      - 8080:8080
    expose:
      - "8080"
      - "3000"
      - "5000"
    cap_add:
      - ALL
      - NET_ADMIN
    volumes:
      - ./data/config:/config
      - ./data/letsencrypt:/etc/letsencrypt
      - ./data/certs:/usr/local/etc/haproxy/certs.d
    networks:
      - web
    deploy:
      placement:
        constraints: [node.role == manager]
networks:
  web:
    driver: overlay

在 ./data/config/haproxy.cfg 中有一个文件，其中包含 haproxy 使用 ssl 的配置选项。我对默认配置所做的唯一相关更改(您可以在此处看到:https://hub.docker.com/r/nmarus/haproxy-certbot)是这样的:

backend my_http_backend
  mode http
  balance leastconn
  option tcp-check
  option log-health-checks
  server back back:5000 check port 5000
  server front front:80 check port 80

路由到我自己的容器。

当我运行以下命令时(作为 root):

 docker swarm init \
   --advertise-addr MY_IP_ADD_SS
docker stack deploy --compose-file=docker-compose.yaml prod2

我得到以下信息:

root@ubuntu-1gb-nyc3-01:/lowteck# docker service ls
ID                  NAME                MODE                REPLICAS            IMAGE                                 PORTS
ko2xkerpki9f        prod2_back          replicated          3/3                 patientplatypus/lowtechback:latest    *:5000->5000/tcp
rly8rrb5uiht        prod2_front         replicated          3/3                 patientplatypus/lowtechfront:latest   *:80->3000/tcp
nuf7219sxteu        prod2_proxy         replicated          0/1                 nmarus/haproxy-certbot:latest         *:8080->8080/tcp
root@ubuntu-1gb-nyc3-01:/lowteck# docker service logs prod2_proxy
prod2_proxy.1.y2eagrgn52fg@ubuntu-1gb-nyc3-01    | getsockopt failed strangely: Operation not permitted
prod2_proxy.1.ycbj0rojv2tl@ubuntu-1gb-nyc3-01    | getsockopt failed strangely: Operation not permitted
prod2_proxy.1.y4mt1es20q0v@ubuntu-1gb-nyc3-01    | getsockopt failed strangely: Operation not permitted
prod2_proxy.1.ohopcbdmgvwt@ubuntu-1gb-nyc3-01    | getsockopt failed strangely: Operation not permitted

据我所知，我已经设置了 cap_add 选项以允许在代理容器中执行此操作，我已经以 root 身份运行 swarm 命令，并且我应该读/写/对我的 haproxy.cfg 文件执行权限。为什么我会收到这个奇怪的错误？

Answer 1

我猜是绑定(bind)安装导致了 haproxy 中的问题，或者只是 nmarus/haproxy-certbot 图像出了问题。

在 Swarm 中，建议您使用 docker volume 来存储持久数据，例如容器生成的证书和配置。如果使用多个 Swarm 节点，您需要使用类似 http://rexray.io 的共享存储。以确保卷不会“卡在”一个节点上。

可选地，如果您在开始时将它们提供给容器，您可以使用 Swarm Secrets 和 Configs 将它们注入(inject)容器，但我猜您正在使用的图像会动态生成它们。

此外，Swarm 不使用depends_on、cap_add 和expose。查看compose file doc关于您要在 yaml 中使用的每个功能。

最后，看起来您正在使用的图像不支持像您已安装的那样使用 docker 套接字(您有两个卷:同一服务中的对象)，因此您真的应该查看“群”代理意识到”，并可以根据您部署的服务进行 self 更新。 Traefik这样做，我 go through examples of using it in Swarm on GitHub .