允许 Docker 容器在主机上使用 IPSEC VPN

Question 1

我编写了一个 python 程序来包装 ipsec，安装 iptables 条目以允许 docker 容器与 VPN 隧道通信：

https://github.com/cbrichford/docker-ipsec

而不是这样做： ipsec up

你做： docker-ipsec up

该脚本可能需要一些工作才能与最新的 docker 网络功能一起使用，但可以与旧的默认docker0网桥一起使用。

如果你不想使用我的脚本来编辑 iptables，可以按照以下方式构建 iptables 命令：

找出 VPN 中主机的虚拟 IP 地址。将其称为 virtualIP。
找出 VPN 中 IP 地址的 CIDR 块。如果 VPN 中的 IP 地址始终为 10.10.XX 格式，则您的 CIDR 块将为 10.10.0.0/16。将此称为 vpnSubnet
找出默认路由接口。这将类似于“eth0”。这是我用来查找它的命令：sudo ip route show | grep -e "^default" | awk -- "{ print \$5 }"。将其称为 defaultRouteInterface。
找出您想要授予 VPN 访问权限的 docker 网络的 CIDR 块。我使用以下命令找到它：sudo ip route show | grep -e "[[:space:]]dev[[:space:]]docker" | awk -- "{ print \$1 }"。将其称为 dockerSubnet。

您需要运行的 iptables 命令是： sudo \ iptables \ -j SNAT \ -t nat \ -I POSTROUTING 1 \ -o ${defaultRouteInterface} \ -d "${vpnSubnet}" \ -s "${dockerSubnet}" \ --to-source "${virtualIP}"

Answer

我编写了一个 python 程序来包装 ipsec，安装 iptables 条目以允许 docker 容器与 VPN 隧道通信：

https://github.com/cbrichford/docker-ipsec

而不是这样做： ipsec up

你做： docker-ipsec up

该脚本可能需要一些工作才能与最新的 docker 网络功能一起使用，但可以与旧的默认docker0网桥一起使用。

如果你不想使用我的脚本来编辑 iptables，可以按照以下方式构建 iptables 命令：

找出 VPN 中主机的虚拟 IP 地址。将其称为 virtualIP。
找出 VPN 中 IP 地址的 CIDR 块。如果 VPN 中的 IP 地址始终为 10.10.XX 格式，则您的 CIDR 块将为 10.10.0.0/16。将此称为 vpnSubnet
找出默认路由接口。这将类似于“eth0”。这是我用来查找它的命令：sudo ip route show | grep -e "^default" | awk -- "{ print \$5 }"。将其称为 defaultRouteInterface。
找出您想要授予 VPN 访问权限的 docker 网络的 CIDR 块。我使用以下命令找到它：sudo ip route show | grep -e "[[:space:]]dev[[:space:]]docker" | awk -- "{ print \$1 }"。将其称为 dockerSubnet。

您需要运行的 iptables 命令是： sudo \ iptables \ -j SNAT \ -t nat \ -I POSTROUTING 1 \ -o ${defaultRouteInterface} \ -d "${vpnSubnet}" \ -s "${dockerSubnet}" \ --to-source "${virtualIP}"

Question 2

这个答案已经有一段时间没有更新了。根据@ChristopherBrichford的回答，您可以使用以下命令将docker0网络重定向到VPN。它与@CodeMedic的命令略有不同，因为某些操作系统可能不再可用ifconfig。

将 docker0 上所有容器的流量引导至 VPN

sudo iptables -j SNAT -t nat -I POSTROUTING 1 \
    -o $(ip route show | grep -e "^default" | awk -- "{ print \$5 }") \
    -d $(ip route list table 220 | grep -o '^[0-9.]*/[0-9]*') \
    -s $(ip route show | grep -e "[[:space:]]dev[[:space:]]docker" | awk -- "{ print \$1 }") \
    --to-source $(ip -4 -o addr show | awk '/ (lo|docker|br-|tun)/ {next;} /valid_lft forever/ {print $4}' | cut -d/ -f1)

10.0.10.0/24如果 VPN 子网是docker0 子网172.17.0.0/16，则该命令的最终结果将如下所示：

sudo iptables -j SNAT -t nat -I POSTROUTING 1 \
    -o eth0 \
    -d "10.0.10.0/24" \
    -s "172.17.0.0/16" \
    --to-source "10.0.10.111"

将流量从 br-# 上的特定容器引导至 VPN

您还可以从特定的正在运行的容器重定向 VPN 流量。要实现此功能，只能有一个 docker 网络处于活动状态，因为它会根据活动的 docker 网络对其进行过滤。

sudo iptables -j SNAT -t nat -I POSTROUTING 1 \
    -o $(ip route show | grep -e "^default" | awk -- "{ print \$5 }") \
    -d $(ip route list table 220 | grep -o '^[0-9.]*/[0-9]*') \
    -s $(ip route show | grep -e "[[:space:]]dev[[:space:]]docker" | awk -- "{ print \$1 }") \
    --to-source $(ip route show | awk '/ (linkdown)/ {next;} /br-/ {print $1}')

最终结果应与下一个示例类似。请注意所用源网络的差异：

sudo iptables -j SNAT -t nat -I POSTROUTING 1 \
    -o eth0 \
    -d "10.0.10.0/24" \
    -s "172.20.0.0/16" \
    --to-source "10.0.10.111"

Answer