コンテナ内で Linux ブリッジを設定するにはどうすればいいですか?

Question

まず、インターフェイスには IP アドレスが設定されていないため、アドレスがないとインターフェイスを介して IP パケットを送受信することはできません。( pingIP プロトコルの ICMP を使用します。)

2つ目：タップインターフェースはそうは機能しません。タップインターフェースはパケットをブリッジに「反射」しませんping。代わりに、タップインターフェースはブリッジに接続されることを期待します。プログラムたとえば、OpenVPN やその他の VPN ソフトウェアなどです。

したがって、たとえば、ホストネットワークにブリッジされた OpenVPN (単一のサブネットを共有) を設定しようとする場合、このアプローチは機能します。ただし、Linux ブリッジがどのように機能するかを確認したいだけの場合は、vethインターフェイスを使用する方がよいでしょう。

そして、外部LANへのL2接続だけが必要な場合は、ブリッジを間違った場所に作成していることになります。このようなことは通常、ホスト容器に入っていません。

ネットワークインターフェースには2つの端があると考えてください。ホスト端はOSに表示され、すべてのソフトウェアによって使用されます。もう一方の端は実際のネットワークに接続されます（例：物理的なイーサネットポート）。パケットが一方の端から入ってくると、他の終了。(もちろんブリッジには 2 つだけではなく複数のポートを設定できますが、同じ一般原則が適用されます。)

インターフェースをブリッジすると、ブリッジがホストそのインターフェースの側では、からネットワーク。ただし、ping -I eth0またはを使用するとping -I tap0、ブリッジをバイパスしてすべてを実際のネットワークに送信することになります。

ping ──› [eth0 ──› NIC] ──› network

ping ──› [tap0 ──› VPN software] ──› ???

               ┌─› [eth0 ──› NIC] ──› network
ping ──› br0 ──┤
               └─› [tap0 ──› VPN software] ──› ???
                     ∧
     ping -I tap0 ───┘

したがって、あなたの状況では、タップインターフェイスは役に立ちません。反対側にプログラムが接続されていないため、タップインターフェイスを介して送信しようとするすべてのパケットは破棄されます。(確認すると、ip linkおそらくNO-CARRIERフラグが表示されます。)

代わりに、たとえば、vethインターフェース（コンテナでよく使用されるものと同じ種類）を使用できます。インターフェースは常に、互いに接続されたペアで作成されます。したがって、pingパケットを経由で送信するように指示するとveth0、パケットはループバックしてのホスト側を通過しveth1、ブリッジはパケットを受信して、必要に応じて eth0 経由で転送できます。

      ┌── [eth0 ──› NIC] ──› network
br0 ──┤
      └── [veth1 ‹───› veth0] ‹── ping -I veth0

Answer 1