背景情報
Dockerを実行している2つのネットワークインターフェイスを持つサーバーがあります。Dockerは、一部の仮想化ツールと同様に、と呼ばれるLinuxブリッジインターフェースを作成しますdocker0。このインターフェイスはデフォルトでIPで構成され172.17.42.1、すべてのDockerコンテナはゲートウェイとしてこのインターフェイスと通信し、同じ/16範囲のIPアドレスが割り当てられます。私が理解しているように、コンテナとの間のすべてのネットワークトラフィックはNATを通過するため、発信はからのように見え172.17.42.1、着信はに送信され172.17.42.1ます。
私のセットアップは次のようになります：
+------------+ /
| | |
+-------------+ Gateway 1 +-------
| | 10.1.1.1 | /
+------+-------+ +------------+ |
| eth0 | /
| 10.1.1.2 | |
| | |
| DOCKER HOST | |
| | | Internet
| docker0 | |
| (bridge) | |
| 172.17.42.1 | |
| | |
| eth1 | |
| 192.168.1.2 | \
+------+-------+ +------------+ |
| | | \
+-------------+ Gateway 2 +-------
| 192.168.1.1| |
+------------+
問題
Dockerコンテナからのすべてのトラフィックを2番目のeth1 192.168.1.2インターフェイスからデフォルトゲートウェイ192.168.1.1のにルーティングし、ホストマシンからのすべてのトラフィックをeth0 10.1.1.2インターフェイスからデフォルトゲートウェイのに送ります10.1.1.1。これまでさまざまなことを試しましたが、最も正しいと思うのは、iproute2を次のように使用することです。
# Create a new routing table just for docker
echo "1 docker" >> /etc/iproute2/rt_tables
# Add a rule stating any traffic from the docker0 bridge interface should use
# the newly added docker routing table
ip rule add from 172.17.42.1 table docker
# Add a route to the newly added docker routing table that dictates all traffic
# go out the 192.168.1.2 interface on eth1
ip route add default via 192.168.1.2 dev eth1 table docker
# Flush the route cache
ip route flush cache
# Restart the Docker daemon so it uses the correct network settings
# Note, I do this as I found Docker containers often won't be able
# to connect out if any changes to the network are made while it's
# running
/etc/init.d/docker restart
コンテナを立ち上げると、これを実行した後、コンテナからまったくpingを実行できません。ブリッジインターフェイスがこの種のルーティングの物理インターフェイスと同じ方法で処理されるかどうかはわかりませんが、この一見単純なタスクを達成するためのヒントだけでなく、健全性チェックだけが必要です。
NATに関するあなたのコメントは正しくありません。出力インターフェイスがdocker0ではない172.17.0.0/16ソースアドレスをマスカレードするように設定されています。すなわち-A POSTROUTING -s 172.17.0.0/16！-o docker0 -jマスカレード。つまり、Dockerコンテナから発信されたパケットがeth0またはeth1のいずれかを経由して終了する場合、172.17.xx IPではなく、そのインターフェイスのIPアドレスが使用されます。
—
マット
ご意見をありがとうございます。それで、特定のインターフェイスからルーティングするための私のアプローチが変わりますか？これを達成する方法を知っていますか？現状では、Dockerはホストシステムのデフォルトゲートウェイを使用しているだけで、これは望ましい動作ではありません。Dockerに特定のインターフェイスからルーティングするすべてのものが欲しい。
私が提案したことがうまくいかない理由はわかりません。しかし、もう1つの選択肢はパイプワークを使用することです。 github.com/jpetazzo/pipework また、Dockerヘルプの高度なネットワークセクションも読むと便利です。docs.docker.com/articles/networking
—
マット・
@Mattこれに関するあなたの提案に感謝します。私がパイプワークを読んだことから、コンテナが開始された後に追加のコマンドが必要になります。これは、セキュリティの脆弱性のように見える正しいゲートウェイにアクセスするためです。もともとは、複数のホスト間でコンテナを接続するために作成されましたが、ここでの目標ではありません。Dockerの高度なネットワーキングドキュメントについては、もう一度見ていきますが、この状況ではこれまで役に立ちませんでした（ここに投稿する前に読みました）。この投稿へのリンクをdocker Github Issuesページに投稿し、そこからどうなるかを確認します。
Githubの問題に戻るリンクを次に示します。github.com