Docker容器网络互通排障全流程：从Bridge到iptables的深度排查

# 从p14的web容器访问同宿主机的api容器
curl http://api:8000/health  ✅ 正常

# 从p14的web容器访问VM152的api容器
curl http://api-host:8000/health  ❌ 连接超时

# 在各节点执行
docker network ls
docker network inspect bridge
docker network inspect <自定义网络名>

# 检查网卡是否支持混杂模式
ip link show eth0
# 查看是否有 PROMISC 标志

# 或者用ethtool检查
ethtool eth0 | grep -i promis
# 如果显示 "Promiscuous mode: on" 则支持

# 在p14上执行
docker network create \
  --driver macvlan \
  --subnet=172.18.0.0/16 \
  --gateway=172.18.0.1 \
  -o parent=eth0 \
  macvlan_net

# 在VM152上执行
docker network create \
  --driver macvlan \
  --subnet=172.19.0.0/16 \
  --gateway=172.19.0.1 \
  -o parent=eth0 \
  macvlan_net

# 从p14的容器ping VM152的网关
ping 172.19.0.1
# 结果：Destination Host Unreachable

# 查看NAT规则
iptables -t nat -L -n
# 重点关注 POSTROUTING 和 FORWARD 链

# 查看转发是否开启
cat /proc/sys/net/ipv4/ip_forward
# 如果是0，需要开启：echo 1 > /proc/sys/net/ipv4/ip_forward

# 开启IP转发（临时，重启失效）
echo 1 > /proc/sys/net/ipv4/ip_forward

# 永久开启
sysctl -w net.ipv4.ip_forward=1

# 查看filter表的FORWARD链
iptables -L FORWARD -n -v

# 临时放行所有转发流量测试
iptables -P FORWARD ACCEPT

# 允许Docker网络之间的流量转发
# 注意：需要根据实际网段修改

# 允许p14网络访问VM152网络（示例网段）
iptables -A FORWARD -s 172.18.0.0/16 -d 172.19.0.0/16 -j ACCEPT
iptables -A FORWARD -s 172.19.0.0/16 -d 172.18.0.0/16 -j ACCEPT

# 允许已知Docker网段的流量
iptables -A FORWARD -s 172.0.0.0/8 -d 172.0.0.0/8 -j ACCEPT

# 编辑Docker服务配置
vim /etc/systemd/system/docker.service.d/10-macvlan.conf

# 添加以下内容
[Service]
ExecStart=
ExecStart=/usr/bin/dockerd -H fd:// -H tcp://0.0.0.0:2375 \
  --ip-masq=true \
  --ip-forward=true \
  --iptables=true

# 重启Docker服务
systemctl daemon-reload
systemctl restart docker

# 再次测试
docker run --rm --net=macvlan_net alpine ping -c 3 172.19.0.x
# 如果能ping通，说明macvlan配置成功

# 1. 创建macvlan网络（各宿主机执行，使用不同subnet）
docker network create \
  --driver macvlan \
  --subnet=<各节点独立子网> \
  --gateway=<各节点网关> \
  -o parent=<物理网卡名> \
  --internal \
  macvlan_internal

# 2. 使用网络启动容器
docker run --rm --net=macvlan_internal --ip=<固定IP> -it alpine sh

# 3. 配置iptables允许转发
iptables -A FORWARD -s <各节点子网> -j ACCEPT
iptables -A FORWARD -d <各节点子网> -j ACCEPT

# 初始化Swarm（Manager节点）
docker swarm init

# 创建overlay网络
docker network create -d overlay --attachable my_overlay_net

# 在任意节点启动容器并加入该网络
docker run --rm --net=my_overlay_net -it alpine sh

#!/bin/bash
# Docker容器网络排障脚本
# 保存到 /opt/scripts/docker-network-check.sh

set -e

echo "========== Docker 容器网络排障 =========="
echo "时间：$(date '+%Y-%m-%d %H:%M:%S')"
echo ""

# 1. 检查Docker网络列表
echo "[1/7] Docker网络列表："
docker network ls
echo ""

# 2. 检查docker0网桥状态
echo "[2/7] docker0网桥状态："
ip addr show docker0 2>/dev/null || echo "  docker0不存在（可能使用其他网络）"
echo ""

# 3. 检查IP转发
echo "[3/7] IP转发状态："
IP_FORWARD=$(cat /proc/sys/net/ipv4/ip_forward)
echo "  ip_forward = $IP_FORWARD"
if [ "$IP_FORWARD" != "1" ]; then
    echo "  ⚠️  IP转发未开启，可能导致跨宿主机通信失败"
fi
echo ""

# 4. 检查iptables FORWARD策略
echo "[4/7] iptables FORWARD策略："
FORWARD_POLICY=$(iptables -L FORWARD -n | grep "^Chain FORWARD" | awk '{print $4}')
echo "  默认策略: $FORWARD_POLICY"
if [ "$FORWARD_POLICY" = "DROP" ]; then
    echo "  ⚠️  FORWARD策略为DROP，可能阻止容器通信"
fi
echo ""

# 5. 检查Docker网络详情
echo "[5/7] 各Docker网络详情："
for net in $(docker network ls --format '{{.Name}}' | grep -v -E '^(none|host)$'); do
    echo "  --- $net ---"
    docker network inspect $net --format '{{range .IPAM.Config}}Subnet: {{.Subnet}}  Gateway: {{.Gateway}}{{end}}' 2>/dev/null
    echo ""
done

# 6. 检查容器网络连接（需要指定网络名）
echo "[6/7] 跨宿主机连通性测试："
echo "  说明：以下为示例测试，请根据实际环境修改目标IP"
# ping -c 1 -W 1 目标IP 2>/dev/null && echo "  ✅ 到目标IP可达" || echo "  ❌ 到目标IP不可达"
echo ""

# 7. 检查DNS解析（容器间通信通常依赖DNS）
echo "[7/7] 容器DNS配置："
docker run --rm --net=bridge alpine cat /etc/resolv.conf 2>/dev/null || echo "  无法获取DNS配置"
echo ""

echo "========== 排障完成 =========="
echo ""
echo "常见问题处理建议："
echo "1. IP转发未开：sysctl -w net.ipv4.ip_forward=1"
echo "2. FORWARD被DROP：iptables -P FORWARD ACCEPT"
echo "3. 跨主机不通：检查物理网络路由或使用overlay/macvlan"
echo "4. DNS解析失败：检查自定义网络的DNS配置"

chmod +x /opt/scripts/docker-network-check.sh
/opt/scripts/docker-network-check.sh

docker info | grep Swarm
# 如果显示 "Swarm: inactive"，需要先初始化
docker swarm init

# 创建自定义网络
docker network create my_net

# 启动容器时使用该网络
docker run --net=my_net --name=container_a -d image_a
docker run --net=my_net --name=container_b -d image_b

# 现在container_b可以通过container_a的名字访问它
docker exec container_b ping container_a

# 创建新网络
docker network create -d bridge --subnet=172.20.0.0/16 my_new_net

# 将运行中的容器连接到新网络（不影响原网络连接）
docker network connect my_new_net <运行中的容器ID>

# 断开旧网络（如需要）
docker network disconnect bridge <容器ID>