UDP 流量未从 Docker 容器转发到 Docker 主机

Question 1

我想到了。

我们在 SOE 中运行了一个趋势科技（防病毒）代理，但我对此并不知情。

修复它很简单：

# systemctl stop ds_agent.service
# pkill ds_agent

目前还不完全清楚为什么它会阻止来自容器的 UDP 或者如何停止它。

Answer

我想到了。

我们在 SOE 中运行了一个趋势科技（防病毒）代理，但我对此并不知情。

修复它很简单：

# systemctl stop ds_agent.service
# pkill ds_agent

目前还不完全清楚为什么它会阻止来自容器的 UDP 或者如何停止它。

Question 2

似乎您的 modprobeinstall指令无法工作。这可能是由于 RHEL 7.2 更新不完整或某些手动修复造成的。

尝试grep -r bridge /etc/modprobe.d /lib/modprobe.d启动，或者以其他方式挖掘/etc/modprobe.d或/lib/modprobe.d尝试找到它在哪里定义install调用的规则sysctl -q -w net.bridge.bridge-nf-call-arptables=0 net.bridge.bridge-nf-call-iptables=0 net.bridge.bridge-nf-call-ip6tables=0

这sysctl显然是错误的位置。它要么是多余的，要么应该出现在之后br_netfilter，而不是之前。为什么？最近，/proc/sys/net/bridge处理已从bridge模块移至br_netfilter模块。这发生在某些版本的中kernel*.rpm，而目录的内容modprobe.d与其他单独的软件包一起分发。我已经在我的 RHEL 7.2 上进行了验证：

# modprobe bridge
# sysctl -q -w net.bridge.bridge-nf-call-iptables=0
sysctl: cannot stat /proc/sys/net/bridge/bridge-nf-call-iptables: No such file or directory
# modprobe br_netfilter
# sysctl -q -w net.bridge.bridge-nf-call-iptables=0    # ok now

我在原始 RHEL 7.1 上没有看到这些“损坏”的规则~~，它们的来源对我来说很神秘~~。我尝试过：

# modprobe -n -vvv bridge
modprobe: INFO: custom logging function 0x40a130 registered
insmod /lib/modules/3.10.0-229.11.1.el7.x86_64/kernel/net/llc/llc.ko
insmod /lib/modules/3.10.0-229.11.1.el7.x86_64/kernel/net/802/stp.ko
insmod /lib/modules/3.10.0-229.11.1.el7.x86_64/kernel/net/bridge/bridge.ko
modprobe: INFO: context 0xf1c270 released
# echo "install bridge echo example_of_a_modprobe_rule" > /etc/modprobe.d/zzz5.conf
# modprobe -n -vvv bridge
modprobe: INFO: custom logging function 0x40a130 registered
insmod /lib/modules/3.10.0-229.11.1.el7.x86_64/kernel/net/llc/llc.ko
insmod /lib/modules/3.10.0-229.11.1.el7.x86_64/kernel/net/802/stp.ko
install echo example_of_a_modprobe_rule
modprobe: INFO: context 0xeaa270 released
# rm /etc/modprobe.d/zzz5.conf

更新：好像xenserver 使用类似的 modprobe hack. 无论您是否实际运行 xenserver，全局更改每个人的内核模块行为都是一个令人讨厌的错误；并且该错误已经对我们进行了反击。

更新 2：现在，您已经发现/etc/modprobe.d/dist.conf导致此问题的原因不是 docker，而是 docker。无论您是否有 docker， modprobe bridge都会始终返回 1 并打印错误。通常，dist.conf 是 RHEL6 上软件包的一部分module-init-tools。此文件不应在 RHEL7 上使用。它不在我的任何 RHEL7 系统上，它们运行良好。在 RHEL7 中，软件包是，kmod并且不包含 dist.conf。我会：

rpm -qf /etc/modprobe.d/dist.conf  # what package owns this file?

如果 dist.conf 不属于包，请备份它并删除任何不会给您带来任何明显好处的行（甚至可能完全删除该文件）。

如果 dist.conf 属于某个包，请考虑删除/更新该包，因为它在 RHEL 7.2 兼容性方面明显存在缺陷。

Answer