Wie richte ich eine Linux Bridge in einem Container ein?

Question

Erstens: Für Ihre Schnittstelle ist keine IP-Adresse konfiguriert. Sie können daher ohne Adresse keine IP-Pakete senden und empfangen. ( pingverwendet ICMP, ein IP-Protokoll.)

Zweitens: So funktionieren Tap-Schnittstellen nicht – sie „reflektieren“ die pingPakete nicht zurück in die Brücke; stattdessen erwarten sie eine Verbindung zu einemProgramm, zB OpenVPN oder andere VPN-Software.

Ihr Ansatz würde also funktionieren, wenn Sie beispielsweise versuchen würden, OpenVPN einzurichten, das mit dem Host-Netzwerk verbunden ist (und ein einzelnes Subnetz gemeinsam nutzt). Wenn Sie jedoch nur sehen möchten, wie Linux-Brücken funktionieren, haben Sie mit vethSchnittstellen mehr Erfolg.

Und wenn Sie nur eine L2-Verbindung zum externen LAN wünschen, dann erstellen Sie die Brücke an der falschen Stelle – solche Dinge werden normalerweise auf derGastgeber, nicht in einem Behälter.

Stellen Sie sich eine Netzwerkschnittstelle so vor, als hätte sie zwei Enden: Das „Host“-Ende wird im Betriebssystem angezeigt und von der gesamten Software verwendet; das andere Ende ist mit dem eigentlichen Netzwerk verbunden (z. B. ein physischer Ethernet-Port). Wenn Pakete über ein Ende eingehen, gehen sie durch dasandereEnde. (Brücken können natürlich mehrere Ports haben, nicht nur zwei, aber es gilt das gleiche allgemeine Prinzip.)

Wenn Sie eine Schnittstelle überbrücken, übernimmt die Brücke dieGastgeberSeite dieser Schnittstelle, so dass es nur Pakete sieht, die kamenausdas Netzwerk. Wenn Sie jedoch ping -I eth0oder verwenden ping -I tap0, umgehen Sie die Brücke und senden alles an das eigentliche Netzwerk.

ping ──› [eth0 ──› NIC] ──› network

ping ──› [tap0 ──› VPN software] ──› ???

               ┌─› [eth0 ──› NIC] ──› network
ping ──› br0 ──┤
               └─› [tap0 ──› VPN software] ──› ???
                     ∧
     ping -I tap0 ───┘

In Ihrer Situation ist die Tap-Schnittstelle also nutzlos – alle Pakete, die Sie darüber senden möchten, werden einfach verworfen, da am anderen Ende kein Programm angeschlossen ist. (Wenn Sie nachsehen, ip linkwerden Sie es wahrscheinlich mit der Flagge sehen NO-CARRIER.)

Stattdessen könnten Sie beispielsweise eine vethSchnittstelle verwenden (die gleiche Art, die Container häufig verwenden) – sie werden immer paarweise erstellt und miteinander verbunden. Wenn Sie also pingPakete über senden veth0, werden sie zurückgeschleift und kommen über die Hostseite von veth1, wo die Brücke sie empfangen und bei Bedarf über eth0 weiterleiten kann.

      ┌── [eth0 ──› NIC] ──› network
br0 ──┤
      └── [veth1 ‹───› veth0] ‹── ping -I veth0

Answer 1