我正在尝试对接一个 vpn-over-vpn 设置，我一直在使用该设置通过另一个 VPN 连接桥接两个 lan 段，但我遇到了一个似乎应该有解决方案的障碍。
VLAN1 <-> USB-Ethernet adapter <-> [ tincd (Mode: switch) <-> openconnect ] <-> LAN <-> {internet} <-> tincd (remote) <-> VLAN1 (remote)
我在没有 docker 容器的情况下工作的方式是，tincd 本质上被配置为连接到只有在建立 openconnect VPN 时才能访问的 IP 地址。我有一个桥接器“vpn-bridge”，它桥接 USB-以太网适配器以及 tincd 守护程序，以及一个允许从/向桥接接收和转发的 iptables 规则。这很好用，设备可以看到并相互交谈，就好像它们在同一个 LAN 上一样。
所以我创建了一个 docker 容器。我在容器内运行了 openconnect 客户端并成功连接到远程网络，并且我在容器内也运行了 tincd 守护程序，这意味着它能够在 VPN 之上建立 VPN。因为我不希望对路由等的 openconnect 更改影响主机，所以我正在vpcbr为该容器使用网络。
现在，在我的tinc-up脚本中，我告诉 tincd 将它创建的接口添加到我的网桥中，其中包含 USB 以太网适配器，它允许它接受/转发流量。这是tinc-up脚本中的相关部分：
ifconfig "$INTERFACE" "0.0.0.0"
brctl addif vpn-bridge "$INTERFACE"
ifconfig "$INTERFACE" up
iptables -A FORWARD -i vpn-bridge -o vpn-bridge -j ACCEPT
直接在主机上执行此操作很容易，网桥已经存在并且网桥已经与 USB 以太网适配器链接。但是在 docker 容器内部，这个桥不存在，即使我创建了它，我也无法将它与 USB 以太网接口链接，而 USB 以太网接口不能从容器内部直接访问。我也不希望容器使用“主机”网络，因为我不希望 openconnect 路由更改影响主机上运行的其他东西。
我找不到将主机上现有桥接器暴露给 docker 容器的方法，以便brctl addif通过 tincd 完成的工作。有没有办法以某种方式做到这一点？或者这是 ipvlan 以某种方式解决的问题？我很难找到 ipvlan 的示例或将它们与 docker-compose 一起使用的方法。