如何在容器內設定linux網橋？

Question

第一：您的介面沒有配置IP位址，因此如果沒有位址，您就無法真正透過它傳送和接收IP封包。（ping使用 ICMP，一種 IP 協定。）

其次：這不是 Tap 介面的工作方式 - 它們不會將ping資料包「反射」回網橋；相反，他們希望連接到程式，例如 OpenVPN 或其他 VPN 軟體。

因此，如果您嘗試設定橋接到主機網路（共用單一子網路）的 OpenVPN，那麼您的方法將會起作用。但如果您只是想了解 Linux 橋接器的工作原理，那麼介面方面的運氣會更好veth。

如果您想要的只是與外部 LAN 的 L2 連接，那麼您就在錯誤的位置創建了網橋 – 這些事情通常是在主持人，不在容器中。

將網路介面視為具有兩端：「主機」端顯示在作業系統中並由所有軟體使用；「主機」端顯示在作業系統中並由所有軟體使用。另一端連接到實際網路（例如實體乙太網路連接埠）。如果資料包從一端進入，它們會通過其他結尾。（網橋當然可以有多個端口，而不僅僅是兩個，但適用相同的一般原則。）

當您橋接介面時，橋接器將接管主持人該介面的一側，因此它只能看到來自的資料包從網路。但如果您使用ping -I eth0或ping -I tap0，您將繞過網橋並將所有內容傳送到實際網路。

ping ──› [eth0 ──› NIC] ──› network

ping ──› [tap0 ──› VPN software] ──› ???

               ┌─› [eth0 ──› NIC] ──› network
ping ──› br0 ──┤
               └─› [tap0 ──› VPN software] ──› ???
                     ∧
     ping -I tap0 ───┘

因此，在您的情況下，tap 介面是無用的 - 您嘗試透過它發送的所有資料包都會被丟棄，因為另一端沒有附加程式。（如果你檢查一下，ip link你可能會看到它帶有NO-CARRIER標誌。）

相反，您可以使用例如veth介面（與容器經常使用的介面相同）——它們總是成對創建並相互連接。因此，如果您告訴ping透過發送封包veth0，它們將環回並通過的主機端veth1，橋接器可以在其中接收它們並在必要時透過 eth0 轉發。

      ┌── [eth0 ──› NIC] ──› network
br0 ──┤
      └── [veth1 ‹───› veth0] ‹── ping -I veth0

Answer 1