как настроить Linux Bridge внутри контейнера?

Question

Во-первых: ваш интерфейс не имеет настроенного IP-адреса, поэтому вы не можете отправлять и получать IP-пакеты через него, не имея адреса. ( pingиспользует ICMP, протокол IP.)

Во-вторых: интерфейсы tap работают не так — они не будут «отражать» pingпакеты обратно в мост; вместо этого они ожидают подключения кпрограмма, например OpenVPN или другое программное обеспечение VPN.

Так что ваш подход сработает, если вы попытаетесь, например, настроить OpenVPN, соединенный мостом с хостовой сетью (разделяя одну подсеть). Но если вы просто хотите посмотреть, как работают мосты Linux, вам повезет больше с vethинтерфейсами.

А если вам нужно только подключение L2 к внешней локальной сети, то вы создаете мост не в том месте — такие вещи обычно делаются нахозяин, а не в контейнере.

Представьте себе сетевой интерфейс, имеющий два конца: конец «хоста» отображается в ОС и используется всем программным обеспечением; другой конец подключен к реальной сети (например, физический порт Ethernet). Если пакеты приходят через один конец, они проходят черездругойконец. (Конечно, мосты могут иметь несколько портов, а не только два, но применяется тот же общий принцип.)

Когда вы соединяете интерфейс, мост берет на себя управлениехозяинсторону этого интерфейса, поэтому он видит только те пакеты, которые пришлиотсеть. Но если вы используете ping -I eth0или ping -I tap0, вы обходите мост и отправляете все в реальную сеть.

ping ──› [eth0 ──› NIC] ──› network

ping ──› [tap0 ──› VPN software] ──› ???

               ┌─› [eth0 ──› NIC] ──› network
ping ──› br0 ──┤
               └─› [tap0 ──› VPN software] ──› ???
                     ∧
     ping -I tap0 ───┘

Таким образом, в вашей ситуации интерфейс tap бесполезен — все пакеты, которые вы попытаетесь отправить через него, будут просто отброшены, поскольку на другом конце не подключена никакая программа. (Если вы проверите, то, ip linkвероятно, увидите ее с NO-CARRIERфлагом.)

Вместо этого вы можете использовать, например, vethинтерфейс (тот же тип, который часто используют контейнеры) – они всегда создаются парами, соединенными друг с другом. Так что если вы скажете pingотправлять пакеты через veth0, они будут возвращаться и проходить через сторону хоста veth1, где мост может получить их и переслать через eth0 при необходимости.

      ┌── [eth0 ──› NIC] ──› network
br0 ──┤
      └── [veth1 ‹───› veth0] ‹── ping -I veth0

Answer 1