☰

Как перенаправить порт IPv6 80/443 в контейнер Podman?

tag-icon • tag-icon linux nat ipv6 containers podman
Как перенаправить порт IPv6 80/443 в контейнер Podman?

Недавно я контейнеризировал свой личный веб-сервер. Однако теперь я заметил, что он больше не доступен по IPv6. Сопоставление портов ( -p 80:80 -p 443:443) работает только для IPv4:https://github.com/containers/podman/issues/4323.

Пока что мне удалось получить для модуля собственный адрес IPv6 ULA, добавив

          [
            {
              "subnet": "fc01::/48",
              "gateway": "fc01::1"
            }
          ]

в /etc/cni/net.d/87-podman-bridge.conflist. Так что теперь я могу curl 'http://[fc01::1]'с самого хоста. Но я не могу понять ip6tablesмагию, чтобы пересылать запросы на публичный IP в контейнер. На основеhttps://www.tldp.org/HOWTO/Linux+IPv6-HOWTO/ch18s04.html, Я пробовал

# ip6tables -t nat -A POSTROUTING -o eth0 -s fc01::1/48 -j MASQUERADE
# ip6tables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination '[fc01::1]:80'
# ip6tables -A FORWARD -i eth0 -o cni-podman0 -p tcp --dport 80 -j ACCEPT

и различные подмножества этих команд, но я получаю либо тайм-ауты, либо сообщение «Нет маршрута к хосту».

Мои адреса выглядят так:

$ ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether f2:3c:91:c8:5b:d9 brd ff:ff:ff:ff:ff:ff
    inet <PUBLIC IPv4>/24 brd <BROADCAST> scope global eth0
       valid_lft forever preferred_lft forever
    inet6 <PUBLIC IPv6>/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 2591999sec preferred_lft 604799sec
    inet6 fe80::f03c:91ff:fec8:5bd9/64 scope link 
       valid_lft forever preferred_lft forever
3: cni-podman0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether b6:58:df:4b:b9:71 brd ff:ff:ff:ff:ff:ff
    inet 10.88.0.1/16 brd 10.88.255.255 scope global cni-podman0
       valid_lft forever preferred_lft forever
    inet6 fc01::1/48 scope global 
       valid_lft forever preferred_lft forever
    inet6 fe80::b458:dfff:fe4b:b971/64 scope link 
       valid_lft forever preferred_lft forever
4: vethb4059020@if3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master cni-podman0 state UP group default 
    link/ether d6:5d:37:f2:0c:48 brd ff:ff:ff:ff:ff:ff link-netns cni-26c430c8-c816-8962-b2f2-b3bbb5274f93
    inet6 fe80::d45d:37ff:fef2:c48/64 scope link 
       valid_lft forever preferred_lft forever

решение1

Нет, переадресация портов не нужна. Контейнер получает уникальный IP-адрес; пункт назначения —нетгостья.

Например, скажите:

  • Твойслучайно сгенерированная сеть ULA былfdab:9bac:936f::/48
  • Отдал fdab:9bac:936f:0ca2::/64хозяину за контейнеры
  • Ваши таблицы маршрутизации перенаправляют подсеть контейнера на соответствующий хост.
  • Назначен fdab:9bac:936f:0ca2::443этому контейнеру веб-сервера (тщеславный IP-адрес через статическую адресацию)
  • У хоста оказывается IP-адрес fdab:9bac:936f:1292::359 (другая подсеть)

Затем войдите в контейнер веб-сервера по адресу fdab:9bac:936f:0ca2::443. Если в контейнере работает только веб-сервер, то это единственные открытые порты (80 и 443).

Только недавно контейнерные сети позволили использовать разумные конфигурации IPv6, которые пропускают NAT. Мое прочтение проблемыpodman и IPv6в том, чтоCNI-плагиныесть функции для определения назначения IP-адресов и push-маршрутов. Если вы решите сделать контейнерную сеть таким образом.

ULA не идеальна. Она не будет маршрутизировать через интернет. Политики выбора адресов имеют более низкий приоритет, чем IPv4.

Маршрутизируемый интернет лучше. К сожалению, вы запутали свой IP-адрес.

Связанный контент