让 docker 使用 IPv4 进行端口绑定

Posted 2023-02-24

【中文标题】让 docker 使用 IPv4 进行端口绑定

【英文标题】：Make docker use IPv4 for port binding

【发布时间】：2015-07-09 12:43:57

【问题描述】：

我有 docker 主机，里面有一个容器。

docker 主机仅在 IPv6 接口上绑定端口，而不是在 IPv4 上。

这是输出

tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -
tcp        0      0 0.0.0.0:55082           0.0.0.0:*               LISTEN      -
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      -
tcp6       0      0 :::80                   :::*                    LISTEN      -
tcp6       0      0 :::22                   :::*                    LISTEN      -
tcp6       0      0 :::40280                :::*                    LISTEN      -
tcp6       0      0 :::5432                 :::*                    LISTEN      -
tcp6       0      0 :::40122                :::*                    LISTEN      -
tcp6       0      0 :::36378                :::*                    LISTEN      -
tcp6       0      0 :::40543                :::*                    LISTEN      -
tcp6       0      0 :::111                  :::*                    LISTEN      -

现在我在主机上有 40122 端口可以与容器上的 22 端口链接。

我想通过 SSH 连接到该容器，但我无法将它作为唯一绑定到 IPv6 的容器

这是我的 docker 版本Docker version 1.5.0, build a8a31ef

docker ps

201bde6c839a        myapp:latest   "supervisord -n"    3 weeks ago         Up 2 hours          0.0.0.0:40122->22/tcp, 0.0.0.0:40280->80/tcp, 0.0.0.0:40543->443/tcp   myapp

我使用docker run -d -P -p 40122:22跑

netstat -tlna

tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN
tcp        0      0 127.0.0.1:3031          0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:6379            0.0.0.0:*               LISTEN
tcp6       0      0 :::22                   :::*                    LISTEN
tcp6       0      0 :::6379                 :::*                    LISTEN

ps辅助

root         1  0.0  0.8  52440 16668 ?        Ss   00:53   0:03 /usr/bin/python /usr/bin/supervisord -n
root        49  0.0  0.1  17980  3048 ?        S    01:32   0:00 bash
root        64  0.0  0.1  46632  2712 ?        S    01:32   0:00 su -l vagrant
vagrant     65  0.0  0.1  21308  3760 ?        S    01:32   0:00 -su
root       288  0.0  0.1  17980  3088 ?        S    02:01   0:00 bash
root       304  0.0  0.1  46632  2720 ?        S    02:01   0:00 su -l vagrant
vagrant    305  0.0  0.1  21304  3804 ?        S    02:01   0:00 -su
vagrant    308  0.0  3.7 429616 75840 ?        Sl+  02:01   0:05 python ./manage.py shell_plus
root       654  0.0  0.4  47596  9848 ?        S    03:12   0:01 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
root       655  0.0  0.3  90280  7732 ?        S    03:12   0:00 nginx: master process /usr/sbin/nginx
www-data   656  0.0  0.1  90600  3624 ?        S    03:12   0:00 nginx: worker process
www-data   657  0.0  0.1  90600  3624 ?        S    03:12   0:00 nginx: worker process
www-data   658  0.0  0.1  90600  3624 ?        S    03:12   0:00 nginx: worker process
www-data   659  0.0  0.2  90940  4500 ?        S    03:12   0:00 nginx: worker process
root       660  0.0  0.2  61372  5332 ?        S    03:12   0:00 /usr/sbin/sshd -D
root       669  0.0  0.4  37004  8892 ?        Sl   03:12   0:01 redis-server *:6379
root       856  8.0  2.8 388720 57792 ?        Sl   04:07   0:18 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
root       857  8.0  2.8 388720 57792 ?        Sl   04:07   0:18 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
root       858  8.0  2.8 388720 57792 ?        Sl   04:07   0:18 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
root       859  8.0  2.8 388720 57792 ?        Sl   04:07   0:18 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
vagrant    889  0.0  0.1  18692  2508 ?        R+   04:11   0:00 ps aux

【问题讨论】：

你用什么命令来启动容器？同时在容器运行时发布docker ps的输出。

你能确认 sshd 确实在容器上运行吗？运行docker exec -ti 201bde6c839a /bin/bash，进入后，发布ps aux 和netstat -taln的输出

在我的 Docker 主机中，所有 docker 端口都在侦听 IPv6，并且连接到容器上的 ssh 没有问题。

@Danielt。我已经添加了信息。我可以使用 exec 进行 ssh，但我无法使用 mac 的主机端口 40122 直接从外部 ssh 进入容器

你可以打这个问题github.com/docker/docker/issues/2174，我不确定它是否得到解决。您能否分享一下您是如何尝试通过 ssh 连接的以及遇到的错误？

【参考方案1】：

2021 年更新：

目前 docker 默认绑定 IPv4 和 IPv6。

如果您想明确“让 docker 使用 IPv4 进行端口绑定”（如，仅绑定在 IPv4 端口上）在前面添加 0.0.0.0: -p/--publish 选项中的端口，如下所示：

$ docker run --publish "0.0.0.0:80:80" --publish "0.0.0.0:443:443" --detach nginx

完成后，结果将如下所示：

$ docker ps

CONTAINER ID   IMAGE   COMMAND                  CREATED          STATUS         PORTS                                      NAMES
2459bd225751   nginx   "/docker-entrypoint.…"   4 seconds ago    Up 2 seconds   0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp   jovial_yonath

netstat 结果如下所示：

$ sudo netstat -tulnp

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State    PID/Program name
tcp        0      0 0.0.0.0:443   0.0.0.0:*       LISTEN   22676/docker-proxy
tcp        0      0 0.0.0.0:80    0.0.0.0:*       LISTEN   22698/docker-proxy

当然，您可以浏览或curl 到该设备以确保其正常工作。

如果您不添加“0.0.0.0”，它将在两个 IP 版本上绑定，并且PORTS 将显示为0.0.0.0:80->80/tcp, :::80->80/tcp, 0.0.0.0:443->443/tcp, :::443->443/tcp，出于安全性、控制台垃圾邮件或可预测性的原因，这可能是不可取的。

【讨论】：

这应该是这个旧线程的“新”答案

【参考方案2】：

对于 CentOS 用户，

我在 CentOS7 上遇到了同样的问题，将 net.ipv4.ip_forward 设置为 1 可以解决问题。详情请参考Docker Networking Disabled: WARNING: IPv4 forwarding is disabled. Networking will not work。

【参考方案3】：

问题已解决：

使用docker run -it -p 80:80 --name nginx --net=host -d nginx

这是我们在使用虚拟机而不是桥接网络时遇到的问题，尝试使用适合您的主机

tcp     0    0 0.0.0.0:80            0.0.0.0:*             LISTEN      - 
tcp6    0    0 :::80                 :::*                  LISTEN      -  

【参考方案4】：

设置net.ipv6.conf.all.forwarding=1 将解决此问题。

这可以在实时系统上使用 sudo sysctl -w net.ipv6.conf.all.forwarding=1

【讨论】：

这个答案有一个优点：它允许您“修复”问题而无需重新启动 docker 守护进程（下面更改 docker 配置的答案确实如此）。关于顶部，选定的答案：我实际上有 sysctl net.ipv6.bindv6only=0 所以更改此配置没有帮助。

很好的答案也将它添加到 /etc/sysctl.d/97-ipv6-fwd.conf 所以它会在重启后持续存在

在 macOS 上我认为是 sudo sysctl net.inet6.ip6.forwarding=1

【参考方案5】：

默认情况下，docker 使用可用于 IPv4 和 IPv6 连接的 AF_INET6 套接字。这会导致 netstat 报告侦听地址的 IPv6 地址。

来自红帽 https://access.redhat.com/solutions/3114021

【参考方案6】：

如果您希望容器端口绑定到您的 ipv4 地址，只需：

找到设置文件 /etc/sysconfig/docker-network 在 RedHat 上类似 /etc/default/docker-network on Debian ans alike 编辑网络设置 添加 DOCKER_NETWORK_OPTIONS=-ip=xx.xx.xx.xx xx.xx.xx.xx 是你真正的 ipv4（而不是 0.0.0.0） 重启 docker 守护进程

在 docker 1.9.1 上为我工作

【讨论】：

这在 debian 上有效吗？不应该是 /etc/default/docker 吗？

@BigDong 感谢您的评论，我像操作系统一样使用 RedHat，所以路径从一个操作系统到另一个操作系统有点不同我试图在答案中反映您的评论

【参考方案7】：

正如@daniel-t 在评论中指出的那样：github.com/docker/docker/issues/2174 是关于在netstat 中仅显示与 IPv6 的绑定，但这不是问题。正如github问题所述：

在设置代理时，Docker 请求回送地址“127.0.0.1”，Linux 意识到这是一个存在于 IPv6 中的地址（如 ::0）并在两者上打开（但它正式是 IPv6 套接字）。当您运行 netstat 时，它会看到并告诉您它是 IPv6 - 但它仍在侦听 IPv4。如果您对设置进行了一些操作，您可能已经禁用了 Linux 所做的这个技巧 - 通过设置 net.ipv6.bindv6only = 1。

换句话说，仅仅因为您将其视为仅 IPv6，它仍然能够在 IPv4 上进行通信，除非您将 IPv6 设置为仅使用 net.ipv6.bindv6only 设置绑定到 IPv6。需要明确的是，net.ipv6.bindv6only 应该是 0 - 你可以运行sysctl net.ipv6.bindv6only 来验证。

【讨论】：

这其实是个大问题。像 Azure 这样的公共云，不能很好地使用 IPV6，例如公共 Azure 负载均衡器正在尝试使用 IPV4 作为后端。

看来您可能需要在 Azure 中安装“Docker VM 扩展”并使用 Ubuntu 14.04 LTS。但是，我认为 ipv6 没有问题，因为这仅在本地主机上，而不是网络上。

@bigdong 你想要 ipv6。

@Michael 你是我的节省时间。 :)

sysctl net.inet6.ip6.v6only 在 macOS 上