admin

docker与 firewalld冲突解决方案

admin 虚拟化 2022-08-02 372浏览 0

 centos7/8 自带防火墙是firewalld。firewall的底层是使用iptables进行数据过滤,建立在iptables之上,这可能会与 Docker 产生冲突。当 firewalld 启动或者重启的时候,将会从 iptables 中移除 DOCKER 的规则,从而影响了 Docker 的正常工作。当你使用的是 Systemd 的时候, firewalld 会在 Docker 之前启动,但是如果你在 Docker 启动之后再启动 或者重启 firewalld ,你就需要重启 Docker 进程了。

docker 网络模式

docker 有4种网络模式 :

  1. bridge模式(默认):网桥模式,通过虚拟网桥使容器通信。容器有自己的独立ip和端口。

  2. host模式:主机模式,与主机共用一个网络,容器ip是主机的ip,端口占用主机的端口范围。

  3. container模式:与指定容器共享一个网络,类似host模式,但是是两个容器间共用一个ip。

  4. none模式:无网络模式,容器有自己的内部网络,但是没有分配ip,路由等信息,需要自己分配。

  默认是bridge 网桥模式,docker会在宿住机配置一个虚拟网卡,并将容器连接到该网卡,而docker网络与宿住机外部网络的通信,是借助nat来实现的。所以当Iptable出现问题时,就会导致docker容器网络异常centos7 自带防火墙是firewalld。在某下情况下可能导致docker 的某些网络问题。

查看 firewalld 日志

tail -10 /var/log/firewalld

  在日志中可以看到一些警告信息,是docker添加的nat规则,但是因为chain不存在,所以添加失败。一般情况下是没有什么问题,但是某些情况,比如容器内需要访问宿住机的服务,则可能出现问题。

2021-12-08 17:21:43 WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -X DOCKER-ISOLATION' failed: iptables: No chain/target/match by that name. 
2021-12-08 17:21:43 WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -D FORWARD -i docker0 -o docker0 -j DROP' failed: iptables: Bad rule (does a matching rule exist in that chain?). 
2021-12-08 17:21:43 WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -D FORWARD -i br-7407bd71b6f0 -o br-7407bd71b6f0 -j DROP' failed: iptables: Bad rule (does a matching rule exist in that chain?).


解决方案一

将firewalld换成iptables(推荐)
#查看firewalld是否启用
systemctl status firewalld
#停止firewalld
systemctl stop firewalld
#禁用firewalld(否则重启系统后会再次启动)
systemctl disable firewalld
#查看是否安装iptables
yum list installed | grep iptables-services
#如果没安装则安装下
yum install iptables-services -y
#重启iptables
systemctl restart iptables
#设置开机自启
systemctl enable iptables
#重启docker
systemctl restart docker

解决方案二

关闭防火墙(不推荐)
#查看firewalld是否启用
systemctl status firewalld
#停止firewalld
systemctl stop firewalld
#禁用firewalld(否则重启系统后会再次启动)
systemctl disable firewalld



解决方案三

禁止 docker 管理防火墙


默认情况下, docker 启动后参数中如果加了端口映射, 就会自动将端口开放给所有网络设备访问,并且这种情况下即使在本机的系统防火墙中加规则也无效, 因为 docker 会自动添加一个优先级最高的针对这个映射端口全开放规则


修改daemon.json

在 /etc/docker/daemon.json 文件中添加 "iptables": false

{
    "registry-mirrors": ["http://hub-mirror.c.163.com"],
        "iptables": false
}
systemctl daemon-reload
systemctl restart docker

解决方案四:同三

修改docker.service

vi /usr/lib/systemd/system/docker.service


# 找到 ExecStart=/usr/bin/dockerd -H tcp://127.0.0.1:2375 -H unix://var/run/docker.sock 在中间添加 --iptables=false
ExecStart=/usr/bin/dockerd --iptables=false -H tcp://127.0.0.1:2375 -H unix://var/run/docker.sock


然后:

systemctl daemon-reload
systemctl restart docker


版权声明

本站《作品展示》类文章均为原创,转载必须注明出处,技术分享类文章部分来源于网络,版权归原作者所有,若侵权请留言。

发表评论
展开