主页 / computer / 问题 / 1824728
Accepted
DMax
Asked: 2024-01-07 22:08:28 +0800 CST

如何将请求代理到 wg-easy docker 容器？

  • 772

我有运行wg-easy docker 镜像的 VPS 和 Orange Pi 4B，它位于家里。我想通过 WireGuard 隧道代理从 VPS 到 Orange Pi 的请求，为我和我的朋友创建一个 Minecraft 服务器。对于我将要使用的代理请求nginx（也许不是最好的解决方案，但至少我知道如何使用它）。

起初，我尝试ping 10.8.0.2（WireGuard中Orange Pi的IP），但没有反应。然后我执行了下一个命令sudo docker exec -it wg-easy ping 10.8.0.2并且它起作用了。

vps-user@vps:~$ ping 10.8.0.2
PING 10.8.0.2 (10.8.0.2) 56(84) bytes of data.
--- 10.8.0.2 ping statistics ---
5 packets transmitted, 0 received, 100% packet loss, time 4093ms

vps-user@vps:~$ sudo docker exec -it wg-easy ping 10.8.0.2
PING 10.8.0.2 (10.8.0.2): 56 data bytes
64 bytes from 10.8.0.2: seq=0 ttl=65 time=57.427 ms
64 bytes from 10.8.0.2: seq=1 ttl=65 time=56.928 ms
64 bytes from 10.8.0.2: seq=2 ttl=65 time=57.318 ms
^C
--- 10.8.0.2 ping statistics ---
3 packets transmitted, 3 packets received, 0% packet loss
round-trip min/avg/max = 56.928/57.224/57.427 ms

所以我认为我的 Orange Pi 只能在 docker 容器内访问。

当我研究这个问题时，我在 GitHub 存储库中发现了该讨论。据我了解，有答案如何代理确切的端口。但我发现这种方式有点困难，因为如果我需要添加更多端口，我必须附加更多样板并且不要出错。

我还发现了--network host争论。我尝试在虚拟机中使用它。它添加了一个真实的wg0接口，并使主机内的 ping 对等点成为可能。这是演示，它是如何工作的（我/etc/sysctl.conf在幕后进行了更改并删除了一些ifconfig输出，只留下了接口名称和IP）

osboxes@osboxes:~$ ifconfig
docker0: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255

enp0s3: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 10.0.2.15  netmask 255.255.255.0  broadcast 10.0.2.255

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0

osboxes@osboxes:~$ sudo docker start wg-easy
[sudo] password for osboxes: 
wg-easy

osboxes@osboxes:~$ ifconfig
docker0: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255

enp0s3: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 10.0.2.15  netmask 255.255.255.0  broadcast 10.0.2.255

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0

wg0: flags=209<UP,POINTOPOINT,RUNNING,NOARP>  mtu 1420
        inet 10.8.0.1  netmask 255.255.255.0  destination 10.8.0.1

osboxes@osboxes:~$ ping 10.8.0.1
PING 10.8.0.1 (10.8.0.1) 56(84) bytes of data.
64 bytes from 10.8.0.1: icmp_seq=1 ttl=64 time=0.032 ms
64 bytes from 10.8.0.1: icmp_seq=2 ttl=64 time=0.033 ms
64 bytes from 10.8.0.1: icmp_seq=3 ttl=64 time=0.035 ms
^C
--- 10.8.0.1 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2036ms
rtt min/avg/max/mdev = 0.032/0.033/0.035/0.001 ms

这个东西对我来说看起来不错，但我不确定它到底是如何工作的，并且在真正的服务器上使用它也没什么可怕的。我看了 NetworkChuk 的关于 docker 网络的教程，但是，也许，不明白，因为英语不是我的主要语言。

那么有没有更好的方法来访问内部docker容器网络呢？

networking

1 个回答

  1. Best Answer

    我发现了所提到的方法的一些优点和缺点。我还认为我找到了代理请求的最佳方法。

    将容器网络更改为host

    一方面，对于初学者来说，这是最简单的暴露内网的方式。另一方面它是不安全的，因为容器内网络的每次变化都会影响主机网络。

    sudo nano /etc/sysctl.conf
# At the end of file you have to add next two lines
net.ipv4.conf.all.src_valid_mark=1
net.ipv4.ip_forward=1

sudo sysctl -p

sudo docker run -d \
  --name=wg-easy \
  -e WG_HOST=YOUR_IP_OR_DOMAIN \
  -e PASSWORD=CHANGE_ME \
  -v ~/.wg-easy:/etc/wireguard \
  -p 51820:51820/udp \
  -p 51821:51821/tcp \
  --cap-add=NET_ADMIN \
  --cap-add=SYS_MODULE \
  --network host \
  --restart unless-stopped \
  ghcr.io/wg-easy/wg-easy

    代理确切端口

    代理请求的最困难的方法。如果我只需要为一个对等点代理一个端口，这是我使用它的唯一方法。

    sudo docker run -d \
  --name=wg-easy \
  -e WG_HOST=YOUR_IP_OR_DOMAIN \
  -e PASSWORD=CHANGE_ME \
  -e "WG_POST_UP=iptables -A FORWARD -i wg0 -j ACCEPT;iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE; iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 25565 -j DNAT --to-destination 10.8.0.2:25565" \ 
  -e "WG_POST_DOWN=iptables -D FORWARD -i wg0 -j ACCEPT;iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; iptables -D PREROUTING -t nat -i eth0 -p tcp --dport 25565 -j DNAT --to-destination 10.8.0.2:25565" \ 
  -v ~/.wg-easy:/etc/wireguard \
  -p 51820:51820/udp \
  -p 51821:51821/tcp \
  -p 25565:25565 \
  --cap-add=NET_ADMIN \
  --cap-add=SYS_MODULE \
  --sysctl="net.ipv4.conf.all.src_valid_mark=1" \
  --sysctl="net.ipv4.ip_forward=1" \
  --restart unless-stopped \
  ghcr.io/wg-easy/wg-easy

    这是解决方案的缺点：

    • 难以管理代理端口，您可能忘记从 docker 公开端口或忘记添加命令以禁用代理WG_POST_DOWN
    • 很难为不同的 IP 地址代理多个相同的端口
    • 您必须了解如何与iptables

    将主机连接到 WireGuard 隧道

    当我研究我的问题时，我还在项目的 GitHub 讨论中发现了该评论。所以这是步骤，以及如何做。

    1. 运行wg-easy容器（文档中的示例）
    2. 转到仪表板并登录
    3. 添加新客户端并下载其配置
    4. 转到主机并安装wireguard：sudo apt install wireguard -y
    5. 添加新的 WireGuard 配置：sudo nano /etc/wireguard/wg0.conf
    6. 将您从仪表板获取的文件中的配置粘贴到此处
    7. 如下编辑您的配置
    - AllowedIPs = 0.0.0.0/0, ::/0
+ AllowedIPs = 10.8.0.0/24
    1. 运行你的wireguard隧道：sudo wg-quick up wg0
    2. 现在您可以从 WireGuard 隧道到达对等点：ping 10.8.0.1

    我认为该解决方案是最好的，因为不需要管理多个iptable代理规则，并且对主机网络的唯一更改是由您的双手进行的。

    • 0

相关问题