Блог

Я запускаю контейнер docker Openvpn в CoreOS:

 docker run --cap-add NET_ADMIN --device /dev/net/tun ...
  

Контейнер подключается к VPN как клиент, и другие VPN-клиенты могут пинговать контейнер. Внутри него запускается обычный openvpn процесс с dev tun опцией в конфигурации.

Моя задача — сделать порты хоста ( -p удаленные порты из любых других контейнеров) на этом компьютере доступными для других VPN-клиентов через этот tun0 внутренний контейнер VPN-клиента (значит, для настройки маршрутизации он должен принадлежать хосту?). Как это реализовать?

Итак, я предположу, что у вас есть контейнер, подключенный к VPN-серверу, и вам необходимо получить доступ к серверу через этот контейнер из-за ограничений IP и так далее.

1 — В случае, если вы используете мостовую сеть, которая используется по умолчанию при запуске контейнера:

Для достижения этого вам нужно будет установить IPTables внутри контейнера и после запуска VPN-соединения выполнить следующую команду:

 iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
  

И с хост-компьютера, на котором вы хотите получить доступ к службе, вы можете использовать iproute команду для маршрутизации соединения через контейнер, как показано ниже:

Предположим, вы хотите получить доступ к удаленному серверу с IP 192.168.0.20 через контейнер с IP: 172.17.0.4

 ip route add 192.168.0.20 via 172.17.0.4
  

Теперь всякий раз, когда вы обращаетесь к серверу 192.168.0.20, это будет происходить через VPN-клиент внутри вашего контейнера.

2- Вы можете перейти --network=host к docker run , и в этом случае вам не понадобятся какие-либо дополнительные шаги, поскольку соединение по умолчанию будет маршрутизироваться через VPN

Обновить:

Учитывая, что у вас есть контейнер Y с портом 9000 и доступен через контейнер X.

Контейнер X подключен к VPN.

Пользователь, подключенный к той же VPN, хочет получить доступ к контейнеру Y, и он должен пройти через контейнер X, тогда вам нужно применить следующие правила брандмауэра внутри контейнера X

 iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE 

iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 9000 -j DNAT --to-destination $CONTAINER_Y_DOCKER_IP 

iptables -t nat -A POSTROUTING -p tcp -d $CONTAINER_Y_DOCKER_IP --dport 9000 -j SNAT --to-source $CONTAINER_X_DOCKER_IP

iptables -A FORWARD -m state -p tcp -d $CONTAINER_Y_DOCKER_IP --dport 9000 --state NEW,ESTABLISHED,RELATED -j ACCEPT