如何在容器内设置 Linux 桥接器？

Question

首先：您的接口没有配置 IP 地址，因此如果没有地址，您就无法通过它真正发送和接收 IP 数据包。（ping使用 ICMP，一种 IP 协议。）

第二：Tap 接口的工作方式并非如此——它们不会将ping数据包“反射”回网桥；相反，它们希望连接到程序，例如 OpenVPN 或其他 VPN 软件。

因此，如果您尝试设置桥接到主机网络（共享单个子网）的 OpenVPN，您的方法将有效。但如果您只是想了解 Linux 桥接器的工作原理，那么使用veth接口会更好。

如果你想要的只是与外部 LAN 建立 L2 连接，那么你就在错误的地方创建了网桥——这种事情通常在主持人，不在容器中。

可以将网络接口想象为具有两端：“主机”端显示在操作系统中，并由所有软件使用；另一端连接到实际网络（例如物理以太网端口）。如果数据包从一端进入，它们将通过其他结束。（当然，网桥可以有多个端口，而不只是两个，但适用相同的一般原则。）

当你桥接一个接口时，网桥接管主持人该接口的一侧，因此它只能看到来自从网络。但是，如果您使用ping -I eth0或ping -I tap0，则会绕过桥接器并将所有内容发送到实际网络。

ping ──› [eth0 ──› NIC] ──› network

ping ──› [tap0 ──› VPN software] ──› ???

               ┌─› [eth0 ──› NIC] ──› network
ping ──› br0 ──┤
               └─› [tap0 ──› VPN software] ──› ???
                     ∧
     ping -I tap0 ───┘

因此，在您的情况下，tap 接口毫无用处 - 您尝试通过它发送的所有数据包都将被丢弃，因为另一端没有附加任何程序。（如果您检查，ip link您可能会看到带有NO-CARRIER标志的数据包。）

例如，您可以使用veth接口（与容器经常使用的接口相同）——它们总是成对创建并相互连接。因此，如果您指示ping通过发送数据包veth0，它们将回环并通过的主机端veth1，桥接器可以接收它们并在必要时通过 eth0 转发。

      ┌── [eth0 ──› NIC] ──› network
br0 ──┤
      └── [veth1 ‹───› veth0] ‹── ping -I veth0

Answer 1