主页 / server / 问题 / 1062987
Accepted
Tom
Asked: 2021-05-09 12:38:58 +0800 CST

Docker：如何让容器访问主机上的网桥？VPN-over-VPN

  • 772

我正在尝试对接一个 vpn-over-vpn 设置，我一直在使用该设置通过另一个 VPN 连接桥接两个 lan 段，但我遇到了一个似乎应该有解决方案的障碍。

VLAN1 <-> USB-Ethernet adapter <-> [ tincd (Mode: switch) <-> openconnect ] <-> LAN <-> {internet} <-> tincd (remote) <-> VLAN1 (remote)

我在没有 docker 容器的情况下工作的方式是，tincd 本质上被配置为连接到只有在建立 openconnect VPN 时才能访问的 IP 地址。我有一个桥接器“vpn-bridge”，它桥接 USB-以太网适配器以及 tincd 守护程序，以及一个允许从/向桥接接收和转发的 iptables 规则。这很好用，设备可以看到并相互交谈，就好像它们在同一个 LAN 上一样。

所以我创建了一个 docker 容器。我在容器内运行了 openconnect 客户端并成功连接到远程网络，并且我在容器内也运行了 tincd 守护程序，这意味着它能够在 VPN 之上建立 VPN。因为我不希望对路由等的 openconnect 更改影响主机，所以我正在vpcbr为该容器使用网络。

现在，在我的tinc-up脚本中，我告诉 tincd 将它创建的接口添加到我的网桥中，其中包含 USB 以太网适配器，它允许它接受/转发流量。这是tinc-up脚本中的相关部分：

ifconfig "$INTERFACE" "0.0.0.0"
brctl addif vpn-bridge "$INTERFACE"
ifconfig "$INTERFACE" up
iptables -A FORWARD -i vpn-bridge -o vpn-bridge -j ACCEPT

直接在主机上执行此操作很容易，网桥已经存在并且网桥已经与 USB 以太网适配器链接。但是在 docker 容器内部，这个桥不存在，即使我创建了它，我也无法将它与 USB 以太网接口链接，而 USB 以太网接口不能从容器内部直接访问。我也不希望容器使用“主机”网络，因为我不希望 openconnect 路由更改影响主机上运行的其他东西。

我找不到将主机上现有桥接器暴露给 docker 容器的方法，以便brctl addif通过 tincd 完成的工作。有没有办法以某种方式做到这一点？或者这是 ipvlan 以某种方式解决的问题？我很难找到 ipvlan 的示例或将它们与 docker-compose 一起使用的方法。

vpn bridge docker

1 个回答

  1. Best Answer

    在尝试了一堆东西之后，我终于（大部分）开始工作了。结果ipvlan不是正确的驱动程序，这可以macvlan在passthru模式下完成。这是我的 docker-compose.yml 的相关摘录：

    networks:
  main:
    driver: bridge
    ipam:
      config:
        - subnet: 172.21.8.0/24
  vlan:
    driver: macvlan
    driver_opts:
      parent: eno1.9
      macvlan_mode: passthru
    ipam:
      config:
        - subnet: 172.21.9.0/24

    我发现我之前必须main按字母顺序命名我的网络vlan，否则将端口映射到容器中运行的其他守护程序不起作用。此外，特别是openconnect我必须编写一个自定义脚本来过滤为拆分隧道推送的地址范围以排除该172.16.0.0/12范围，这会导致与容器内运行的守护程序的连接无意中通过 VPN 路由。

    另一个问题是我无法使用 USB-Ethernet 加密狗，因为设备名称enxAABBCCDDEEFF太长，无法添加 vlan 标签。我找不到单独的macvlan驱动程序选项来指定标签。我最终只使用主网络接口eno1并以这种方式标记流量。

    • 3

相关问题