☰

¿Cómo puedo reenviar el puerto IPv6 80/443 a un contenedor podman?

tag-icon • tag-icon linux nat ipv6 containers podman
¿Cómo puedo reenviar el puerto IPv6 80/443 a un contenedor podman?

Recientemente puse en contenedores mi servidor web personal. Sin embargo, ahora he notado que ya no es accesible a través de IPv6. El mapeo de puertos ( -p 80:80 -p 443:443) solo funciona para IPv4:https://github.com/containers/podman/issues/4323.

Hasta ahora he logrado que el pod tenga su propia dirección IPv6 ULA agregando

          [
            {
              "subnet": "fc01::/48",
              "gateway": "fc01::1"
            }
          ]

a /etc/cni/net.d/87-podman-bridge.conflist. Ahora puedo hacerlo curl 'http://[fc01::1]'desde el propio host. Pero no puedo descubrir la ip6tablesmagia para reenviar solicitudes de la IP pública al contenedor. Residencia enhttps://www.tldp.org/HOWTO/Linux+IPv6-HOWTO/ch18s04.html, He intentado

# ip6tables -t nat -A POSTROUTING -o eth0 -s fc01::1/48 -j MASQUERADE
# ip6tables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination '[fc01::1]:80'
# ip6tables -A FORWARD -i eth0 -o cni-podman0 -p tcp --dport 80 -j ACCEPT

y varios subconjuntos de esos comandos, pero obtengo tiempos de espera o "No hay ruta al host".

Mis direcciones se ven así:

$ ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether f2:3c:91:c8:5b:d9 brd ff:ff:ff:ff:ff:ff
    inet <PUBLIC IPv4>/24 brd <BROADCAST> scope global eth0
       valid_lft forever preferred_lft forever
    inet6 <PUBLIC IPv6>/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 2591999sec preferred_lft 604799sec
    inet6 fe80::f03c:91ff:fec8:5bd9/64 scope link 
       valid_lft forever preferred_lft forever
3: cni-podman0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether b6:58:df:4b:b9:71 brd ff:ff:ff:ff:ff:ff
    inet 10.88.0.1/16 brd 10.88.255.255 scope global cni-podman0
       valid_lft forever preferred_lft forever
    inet6 fc01::1/48 scope global 
       valid_lft forever preferred_lft forever
    inet6 fe80::b458:dfff:fe4b:b971/64 scope link 
       valid_lft forever preferred_lft forever
4: vethb4059020@if3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master cni-podman0 state UP group default 
    link/ether d6:5d:37:f2:0c:48 brd ff:ff:ff:ff:ff:ff link-netns cni-26c430c8-c816-8962-b2f2-b3bbb5274f93
    inet6 fe80::d45d:37ff:fef2:c48/64 scope link 
       valid_lft forever preferred_lft forever

Respuesta1

No, no necesitas reenvío de puertos. El contenedor obtiene una dirección IP única; el destino esnoel anfitrión.

Di por ejemplo:

  • Sured ULA generada aleatoriamente erafdab:9bac:936f::/48
  • Entregado fdab:9bac:936f:0ca2::/64a un anfitrión para contenedores.
  • Sus tablas de rutas reenvían la subred del contenedor al host adecuado.
  • Asignado fdab:9bac:936f:0ca2::443a este contenedor de servidor web (IP personalizada mediante direccionamiento estático)
  • El host tiene una IP de fdab:9bac:936f:1292::359 (subred diferente)

Luego acceda al contenedor del servidor web en fdab:9bac:936f:0ca2::443. Si lo único que se ejecuta en el contenedor es un servidor web, esos son los únicos puertos abiertos (80 y 443).

Sólo recientemente las redes de contenedores han habilitado configuraciones IPv6 sensatas que omiten NAT. Mi lectura del temapodman e IPv6es esoComplementos CNItiene las funciones para definir la asignación de direcciones IP y enviar rutas. Si elige hacer redes de contenedores de esa manera.

ULA no es ideal. No se enrutará a través de Internet. Las políticas de selección de direcciones tienen una prioridad más baja que IPv4.

La ruta de Internet es mejor. Desafortunadamente, confundiste tu dirección IP.

información relacionada