docker - 从主机 ip 访问具有随机端口的 docker 容器

Question

场景是这样的:

在 Linux 机器的容器中运行着一个应用程序。该应用程序内部运行了多个服务，每个服务都有自己的端口号。端口号非常随机。

现在我想在 Mac 笔记本电脑上访问这个应用程序。这台 Mac 笔记本电脑能够 ping Linux 机器 ip。

我目前正在做的一种方法是将所有端口从 docker 容器映射到 Linux 机器，然后我可以使用 Linux 机器 IP 从 Mac 访问。

但是这种方法不能随着更多服务的加入而扩展。我想知道是否有人遇到过同样的问题并有更好的方法来处理这个问题？我们不在这些 Linux 机器上运行 Kubernetes，因为它们不是服务器。这些机器用于个人发展。

谢谢!

Answer 1

Docker 没有在创建容器后映射端口或修改现有端口映射的功能。

通常的解决方案是将您的应用程序配置为使用一组端口或端口范围。如果这是不可能的，那么有几个选项可以解决这个问题。

主机网络

使用 docker run --network=host .容器共享主机网络堆栈，因此可在主机 IP 上使用。请注意，这使容器可以访问主机网络，因此可能会干扰主机服务或将更多主机暴露给容器。

可路由的，用户定义的网络。

为您的容器创建一个用户定义的网络，并为其分配一个网络可以路由到 Docker 主机的 IP 范围。监听容器端口的服务可以直接寻址。

docker network create \
    --subnet=10.1.3.0/24 \
    -o com.docker.network.bridge.enable_ip_masquerade=false \
    routable

需要将新 docker 网络的路由添加到您的网络网关，以便它们可以通过您的 Docker 主机路由流量。在 Linux 上，这将类似于:

ip route add 10.1.3.0/24 via $DOCKER_HOST_IP

然后你应该能够正常传输数据

docker run --net=routable --rm -it alpine ping $DOCKER_HOST_GATEWAY_IP

麦克兰桥

Docker 有一个 macvlan network driver这允许您将主机接口(interface)映射到容器中，有点像 VM 中的桥接接口(interface)。然后容器可以在与主机相同的网络上具有接口(interface)。

docker network create -d macvlan \
    --subnet=10.1.2.0/24 \
    -o macvlan_mode=bridge \
    -o parent=enp3s0 macvlan
docker run --net=macvlan --ip=10.1.2.128 --rm -it alpine ping 10.1.2.1

请注意，您无法通过此网桥与 docker 主机 IP 地址进行通信。您可以将 macvlan 子接口(interface)添加到主机并将主机 IP 地址移动到其上以允许流量。

一些虚拟机和虚拟网络对拥有额外的 MAC 地址非常挑剔，他们不知道如何生成数据。例如，AWS EC2 将拒绝容器流量。

容器 iptables
可以在容器命名空间中创建 iptables NAT 规则。要在容器内执行此操作，容器需要 NET_ADMIN能力。某种形式的脚本可以在启动后查找应用程序端口并使用 DNAT 转发流量。从静态外部映射端口到动态应用程序端口的规则。

docker run -p 5000:5000 --cap-add=NET_ADMIN debian:9
# port=$(ss -lntpH | awk '/"app-bin"/ { split($4,a,":"); print a[length(a)]; exit}')
# iptables -t nat -A -p tcp -m tcp --dport 5000 -j DNAT --to-destination 127.0.0.1:$port

您可以类似地添加 iptables如果您不想添加 NET_ADMIN，则来自 docker 主机的容器网络命名空间规则容器的能力。 The host needs a little help to use container name spaces

pid=$(docker inspect -f '{{.State.Pid}}' ${container_id})
mkdir -p /var/run/netns/
ln -sfT /proc/$pid/ns/net /var/run/netns/$container_id
ip netns exec "${container_id}" iptables -t nat -vnL