¿Cómo configurar el puente de Linux dentro de un contenedor?

Question

Primero: su interfaz no tiene una dirección IP configurada, por lo que realmente no puede enviar ni recibir paquetes IP a través de ella sin tener una dirección. ( pingutiliza ICMP, un protocolo IP).

Segundo: así no es como funcionan las interfaces tap: no "reflejarán" los pingpaquetes nuevamente en el puente; en lugar de eso, esperan estar conectados a unprograma, por ejemplo, OpenVPN u otro software VPN.

Por lo tanto, su enfoque funcionaría si intentara, por ejemplo, configurar OpenVPN que esté conectado a la red del host (compartiendo una única subred). Pero si sólo quiere ver cómo funcionan los puentes de Linux, tendrá más suerte con vethlas interfaces.

Y si lo único que desea es una conexión L2 a la LAN exterior, entonces está creando el puente en el lugar equivocado; estas cosas generalmente se hacen en elanfitrión, no en un contenedor.

Piense en una interfaz de red como si tuviera dos extremos: el extremo 'host' se muestra en el sistema operativo y lo utiliza todo el software; el otro extremo está conectado a la red real (por ejemplo, un puerto Ethernet físico). Si los paquetes entran por un extremo, pasan por elotrofin. (Por supuesto, los puentes pueden tener varios puertos, no sólo dos, pero se aplica el mismo principio general).

Cuando puenteas una interfaz, el puente se hace cargo de laanfitriónlado de esa interfaz, por lo que solo ve los paquetes que vinierondela red. Pero si usas ping -I eth0o ping -I tap0, estás evitando el puente y enviando todo hacia la red real.

ping ──› [eth0 ──› NIC] ──› network

ping ──› [tap0 ──› VPN software] ──› ???

               ┌─› [eth0 ──› NIC] ──› network
ping ──› br0 ──┤
               └─› [tap0 ──› VPN software] ──› ???
                     ∧
     ping -I tap0 ───┘

Entonces, en su situación, la interfaz tap es inútil: todos los paquetes que intente enviar a través de ella simplemente serán descartados, ya que no hay ningún programa adjunto en el otro extremo. (Si marca, ip linkprobablemente lo verá con la NO-CARRIERbandera).

En su lugar, podría utilizar, por ejemplo, una vethinterfaz (del mismo tipo que suelen utilizar los contenedores): siempre se crean en pares conectados entre sí. Entonces, si le indica pingque envíe paquetes a través de veth0, retrocederán y pasarán por el lado del host de veth1, donde el puente puede recibirlos y reenviarlos a través de eth0 si es necesario.

      ┌── [eth0 ──› NIC] ──› network
br0 ──┤
      └── [veth1 ‹───› veth0] ‹── ping -I veth0

Answer 1