Как настроить два сетевых интерфейса с разными шлюзами для Docker?

Question

[Станислав]

Есть машина, на ней крутится докер с контейнером с nginx который слушает 80 порт. К этой машине подключены два сетевых интерфейса. Один публичный, т.е. доступен из инета. Другой приватный и доступен внутри сети.

Nginx доступен по публичному, а по приватному нет. Но если отцепить GW у публичного, то меняются местами. Пробовал открывать доступ на SSH, такой проблемы не наблюдалось. Машина доступна по обоим интерфейсам в один момент.

Думал, что проблема в iptables. Но добрые люди, из комментариев ниже, доходчиво объяснили, что нет. Т.к. докер сам настраивает правила хитрым способом. На докер сетевая подсистема использует сетевой драйвер по умолчанию (bridge).

Интерфейсы на хосте настроил по примеру из Маршрутизация через несколько каналов (Находил в тырнете еще тучу мануалов и рекомендаций, но все они сводились к аналогичным решениям). Но что то не хочет работать. Собственно прошу помощи. Т.к. с моим уровнем компетенции ни чего не работает.

Допускаю, что ошибся в конфигурации интерфейсов.

/etc/iproute2/rt_tables

#
# reserved values
#
255     local
254     main
253     default
0       unspec
#
# local
#
#1      inr.ruhep
50 160
51 192

Приватный (доступен в локалке)

/etc/netplan/160-cloud-init.yaml

network:
  version: 2
  ethernets:
    ens160:
      addresses: [192.168.10.150/24]
      dhcp4: false
      gateway4: 192.168.10.1
      nameservers:
        addresses: [8.8.8.8,8.8.4.4]
      routes:
        - to: 0.0.0.0/0
          via: 192.168.10.1
          table: 160
      routing-policy:
        - from: 192.168.10.150
          table: 160
          priority: 301

Публичный (белый ip)

/etc/netplan/192-cloud-init.yaml

network:
  version: 2
  ethernets:
    ens192:
      addresses: [XXX.XXX.XXX.20/29]
      dhcp4: false
      gateway4: XXX.XXX.XXX.17
      nameservers:
        addresses: [8.8.8.8,8.8.4.4]
      routes:
        - to: 0.0.0.0/0
          via: XXX.XXX.XXX.17
          table: 192
      routing-policy:
        - from: XXX.XXX.XXX.20
          table: 192
          priority: 300

Comments

[Valentin Barbolin]

На двух интерфейсах наверное два gw ?

[Sand]

Пытаетесь пробросить порт откуда куда?

[Станислав]

Valentin Barbolin, я плаваю в этих вопросах. Но если речь идет о gateway, то наверное да. У каждого подключения свой gw.

[Valentin Barbolin]

Cmac-online, Вот он немного теряется, куда же отправлять ответ.
Т.к. у тебя один интерфейс в локальной сети, то с него можно убрать GW и при необходимости прописать нужный маршрут статикой.

или

делать отдельную таблицу маршрутов для каждого интерфейса
https://askubuntu.com/questions/868942/how-to-conf...

Docker сам прописывает правила PREROUTING если указать -p 443:443 и не использовать сеть host.

Answer 1

[Drno]

iptables -t nat -A PREROUTING -p tcp --dport 443 -i ens4 -j DNAT --to 172.172.172.1:50003;

где -i = имя интерфейса внешнего

ну и маскардинг включаем
iptables -t nat -A POSTROUTING -o ens4 -j MASQUERADE;

Comments

[Станислав]

Копипастом не заработало, но спасибо за направление :)

[Drno]

Cmac-online, оно и не должно было заработать)) это пример просто)))

[Станислав]

Drno, :) понятное дело, что я подставлял свои значения. Не заработало, читаю мат.часть :)

[Alexey Dmitriev]

Docker не использует органичения в правилах проброса портов.
Он по умолчанию и FORWARD и DNAT пробрасывает для 0.0.0.0, поэтому при отсутствии других проблем будет работать при любом количестве интерфейсов на сервере.
Так что вероятно - дело не в этом.