让 docker 使用 IPv4 进行端口绑定

Question

我有 docker 主机，里面有一个容器。

docker 主机仅在 IPv6 接口上绑定端口，而不是在 IPv4 上。

这是输出

tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -
tcp        0      0 0.0.0.0:55082           0.0.0.0:*               LISTEN      -
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      -
tcp6       0      0 :::80                   :::*                    LISTEN      -
tcp6       0      0 :::22                   :::*                    LISTEN      -
tcp6       0      0 :::40280                :::*                    LISTEN      -
tcp6       0      0 :::5432                 :::*                    LISTEN      -
tcp6       0      0 :::40122                :::*                    LISTEN      -
tcp6       0      0 :::36378                :::*                    LISTEN      -
tcp6       0      0 :::40543                :::*                    LISTEN      -
tcp6       0      0 :::111                  :::*                    LISTEN      -

现在我在主机上有 40122 端口与容器上的端口 22 链接。

我想通过 SSH 连接到该容器，但我无法将其作为唯一绑定到 IPv6

这是我的 docker 版本 Docker version 1.5.0, build a8a31ef

docker ps

 201bde6c839a        myapp:latest   "supervisord -n"    3 weeks ago         Up 2 hours          0.0.0.0:40122->22/tcp, 0.0.0.0:40280->80/tcp, 0.0.0.0:40543->443/tcp   myapp

我使用 docker run -d -P -p 40122:22

 netstat -tlna

tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN
tcp        0      0 127.0.0.1:3031          0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:6379            0.0.0.0:*               LISTEN
tcp6       0      0 :::22                   :::*                    LISTEN
tcp6       0      0 :::6379                 :::*                    LISTEN

ps辅助

root         1  0.0  0.8  52440 16668 ?        Ss   00:53   0:03 /usr/bin/python /usr/bin/supervisord -n
root        49  0.0  0.1  17980  3048 ?        S    01:32   0:00 bash
root        64  0.0  0.1  46632  2712 ?        S    01:32   0:00 su -l vagrant
vagrant     65  0.0  0.1  21308  3760 ?        S    01:32   0:00 -su
root       288  0.0  0.1  17980  3088 ?        S    02:01   0:00 bash
root       304  0.0  0.1  46632  2720 ?        S    02:01   0:00 su -l vagrant
vagrant    305  0.0  0.1  21304  3804 ?        S    02:01   0:00 -su
vagrant    308  0.0  3.7 429616 75840 ?        Sl+  02:01   0:05 python ./manage.py shell_plus
root       654  0.0  0.4  47596  9848 ?        S    03:12   0:01 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
root       655  0.0  0.3  90280  7732 ?        S    03:12   0:00 nginx: master process /usr/sbin/nginx
www-data   656  0.0  0.1  90600  3624 ?        S    03:12   0:00 nginx: worker process
www-data   657  0.0  0.1  90600  3624 ?        S    03:12   0:00 nginx: worker process
www-data   658  0.0  0.1  90600  3624 ?        S    03:12   0:00 nginx: worker process
www-data   659  0.0  0.2  90940  4500 ?        S    03:12   0:00 nginx: worker process
root       660  0.0  0.2  61372  5332 ?        S    03:12   0:00 /usr/sbin/sshd -D
root       669  0.0  0.4  37004  8892 ?        Sl   03:12   0:01 redis-server *:6379
root       856  8.0  2.8 388720 57792 ?        Sl   04:07   0:18 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
root       857  8.0  2.8 388720 57792 ?        Sl   04:07   0:18 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
root       858  8.0  2.8 388720 57792 ?        Sl   04:07   0:18 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
root       859  8.0  2.8 388720 57792 ?        Sl   04:07   0:18 /usr/local/bin/uwsgi --die-on-term --ini /var/www/conf/uwsgi.ini
vagrant    889  0.0  0.1  18692  2508 ?        R+   04:11   0:00 ps aux

原文由 user3214546 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 1

正如@daniel-t 在评论中指出的那样： github.com/docker/docker/issues/2174 是关于在 netstat 中仅显示与 IPv6 的绑定，但这不是问题。正如github问题所述：

设置代理时，Docker 请求回送地址“127.0.0.1”，Linux 意识到这是一个存在于 IPv6 中的地址（如 ::0）并在两者上打开（但它正式是 IPv6 套接字）。当您运行 netstat 时，它会看到并告诉您它是 IPv6 - 但它仍在侦听 IPv4。如果您对您的设置进行了一些操作，您可能已经禁用了 Linux 所做的这个技巧 - 通过设置 net.ipv6.bindv6only = 1。

换句话说，仅仅因为您将其视为仅 IPv6，它仍然能够在 IPv4 上进行通信，除非您将 IPv6 设置为仅使用 net.ipv6.bindv6only 设置绑定到 IPv6。需要明确的是，net.ipv6.bindv6only 应该是 0 - 你可以运行 sysctl net.ipv6.bindv6only 来验证。

原文由 Michael 发布，翻译遵循 CC BY-SA 3.0 许可协议

Answer 2

2021 年更新：

目前 docker 默认绑定到 IPv4 和 IPv6。

如果您想明确 “让 docker 使用 IPv4 进行端口绑定” （如， 仅 绑定在 IPv4 端口上）在 中的端口之前添加 0.0.0.0: -p / --publish 选项，像这样：

 $ docker run --publish "0.0.0.0:80:80" --publish "0.0.0.0:443:443" --detach nginx

完成后，结果将如下所示：

 $ docker ps

CONTAINER ID   IMAGE   COMMAND                  CREATED          STATUS         PORTS                                      NAMES
2459bd225751   nginx   "/docker-entrypoint.…"   4 seconds ago    Up 2 seconds   0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp   jovial_yonath

netstat 结果将如下所示：

 $ sudo netstat -tulnp

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State    PID/Program name
tcp        0      0 0.0.0.0:443   0.0.0.0:*       LISTEN   22676/docker-proxy
tcp        0      0 0.0.0.0:80    0.0.0.0:*       LISTEN   22698/docker-proxy

当然，您可以浏览或 curl 到设备以确保其正常工作。

如果您不添加“0.0.0.0”，它将在两个 IP 版本上绑定，并且 PORTS 将显示为 0.0.0.0:80->80/tcp, :::80->80/tcp, 0.0.0.0:443->443/tcp, :::443->443/tcp ，这可能不适合安全性，控制台垃圾邮件或可预测性的原因。

原文由 Darren S 发布，翻译遵循 CC BY-SA 4.0 许可协议