docker容器无法访问宿主机-No route to host
在centos部署docker镜像时,遇到可docker容器无法访问宿主机ip的问题(用的wget工具),报错信息为:No route to host。而从docker容器中访问宿主机所在局域网的其他主机的服务是可以访问的。
原因分析
本文中在centos上部署docker容器,其网络模式采用的是bridger模式。
启动docker时,docker进程会创建一个名为docker0的虚拟网桥,用于宿主机与容器之间的通信。当启动一个docker容器时,docker容器将会附加到虚拟网桥上,容器内的报文通过docker0向外转发。
如果docker容器访问宿主机,那么docker0网桥将报文直接转发到本机,报文的源地址是docker0网段的地址。而如果docker容器访问宿主机以外的机器,docker的SNAT网桥会将报文的源地址转换为宿主机的地址,通过宿主机的网卡向外发送。
因此,当docker容器访问宿主机时,如果宿主机服务端口会被防火墙拦截,从而无法连通宿主机,出现No route to host的错误。
而访问宿主机所在局域网内的其他机器,由于报文的源地址是宿主机ip,因此,不会被目的机器防火墙拦截,所以可以访问。
解决方法
方法一:关闭防火墙
centos关闭防火墙的操作为
systemctl stop firewalld
方法二: 在防火墙上开发指定端口
firewall-cmd --zone=public --add-port=2181/tcp --permanent
firewall-cmd --reload
小结
这个问题是在用docker方式部署fabric网络中遇见的错误,容器技术为fabric网络部署带来了极大的便利和运维的方便,但是另一方面也带来了网络的复杂,因此,在运行fabric网络中要尤其注意docker镜像网络问题。
ps. 本人在容器方面也是小白一枚,如果本文中有错误之处,还请大佬们批评指正!
解决 docker 容器无法通过 IP 访问宿主机问题
问题起源
在使用 docker 的过程中我不幸需要在 docker 容器中访问宿主机的 80 端口, 而这个 80 端口是另外一个容器 8080 端口映射出去的. 当我在容器里通过 docker 的网桥 172.17.0.1
访问宿主机时, 居然发现:
curl: (7) Failed to connect to 172.17.0.1 port 80: No route to host
查找问题原因
可以确定的是容器与宿主机是有网络连接的, 因为可以在容器内部通过 172.17.0.1
Ping 通宿主机:
root@930d07576eef:/# ping 172.17.0.1
PING 172.17.0.1 (172.17.0.1) 56(84) bytes of data.
64 bytes from 172.17.0.1: icmp_seq=1 ttl=64 time=0.130 ms
也可以在容器内部访问其它内网和外网. iptables 显示也允许 docker 容器访问:
# iptables --list | grep DOCKER
DOCKER-ISOLATION all -- anywhere anywhere
DOCKER all -- anywhere anywhere
Chain DOCKER (1 references)
Chain DOCKER-ISOLATION (1 references)
之后在查找一些资料后发现这个问题: NO ROUTE TO HOST network request from container to host-ip:port published from other container.
解释
正如 Docker Community Forms 所言, 这是一个已知的 Bug, 宿主机的 80 端口允许其它计算机访问, 但是不允许来自本机的 Docker 容器访问. 必须通过设置 firewalld 规则允许本机的 Docker 容器访问. gypark 指出可以通过在 /etc/firewalld/zones/public.xml 中添加防火墙规则避免这个问题:
<rule family="ipv4">
<source address="172.17.0.0/16" />
<accept />
</rule>
注意这里的 172.17.0.0/16
可以匹配 172.17.xx.xx
IP 段的所有 IP.
之后重启下防火墙:
systemctl restart firewalld
之后就可以在 docker 容器内部访问宿主机 80 端口.
其它问题
实际上当我又用 vmware 新开了一台虚拟机希望能重现这个问题的时候, 发现在新的虚拟机上居然没有类似的问题. 也就是说容器可以直接通过172.17.0.1
访问宿主机 80 端口, 查看防火墙配置也没看到有172.17.xx.xx
的白名单.
猜测是由于在新的虚拟机安装的 docker 是 Docker version 1.12.5, build 047e51b/1.12.5
, 也就是 Red Hat 从 docker 开源版本迁出开发的版本, 而之前的是 Docker version 17.06.2-ce, build cec0b72
属于 Docker-CE
, 可能是 docker 版本有差异, Red Hat 顺便把那个 Known Bug 修复了.
本文由 创作,采用 知识共享署名4.0 国际许可协议进行许可。本站文章除注明转载/出处外,均为本站原创或翻译,转载前请务必署名。最后编辑时间为: 2020/05/16 14:31