Почему контейнер с сетью «bridge» на VPS сервере не может подключиться к API?

Question

[Ayudag]

Привет.
Столкнулся с проблемой при запуске контейнера на VPS.

Используя команду

docker run -d --name test-app --restart unless-stopped -p 8001:8080 test-app

(cеть "bridge"), приложение не может подключиться к внешнему API.
Однако, если запускать контейнер с сетью "host":

docker run -d --name test-app --restart unless-stopped --network host test-app

- приложение работает без проблем.
При этом на локальной машине контейнер с сетью "bridge" запускается и взаимодействует с внешним API корректно.

Понимаю, что использование сети "host" — не лучшая практика, поэтому хочу разобраться, в чем может быть причина такой ситуации.

Примечание: моя программа - это Телеграм-бот. Бот успешно обрабатывает сообщения пользователя и отвечает ему. Но когда программе нужно подключиться к внешнему API, ей не удается этого сделать.

Comments

[shurshur]

Для начала зайти внутрь контейнера и проверить изнутри что с сетью.

docker exec -it test-app /bin/bash

(Надеюсь баш внутри есть, если нет то возможно есть /bin/sh)

Дальще пробовать curl, ping и всё такое - в теории тоже может быть вырезано из контейнера.

Самая простая причина - это наверчено в iptables. Например, если в конфиге демона docker (/etc/docker/daemon.json) выключено управление iptables, то сеть не будет автоматически настроена так, как надо, и это придётся делать вручную.

Но в целом может быть ещё стопоцот других причин, например, выключенный ip_forward или криво указанный upstream dns. Надо тестить, искать ошибки, реагировать на найденное.

[Valentin Barbolin]

Кастомные настройки firewall делал?
sudo iptables-save в студию.

[Ayudag]

shurshur, внутри контейнера ping работает, файл daemon пустой, ip_forward включен. В правилах iptables в FORWARD прописан DROP - может быть в этом проблема или это правильная настройка?

[Ayudag]

Valentin Barbolin, кастомные настройки не делал.
iptables:

# Generated by iptables-save v1.8.10 (nf_tables) on Wed Oct 23 19:40:43 2024
*filter
:INPUT ACCEPT [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT
# Completed on Wed Oct 23 19:40:43 2024
# Generated by iptables-save v1.8.10 (nf_tables) on Wed Oct 23 19:40:43 2024
*nat
:PREROUTING ACCEPT [2850:133435]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [87:6603]
:POSTROUTING ACCEPT [87:6603]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
COMMIT
# Completed on Wed Oct 23 19:40:43 2024

[Valentin Barbolin]

Ayudag, Судя по выводу контейнер test-app выключен либо работает в режиме host.

[shurshur]

Ayudag, DROP тут это policy, это что делется в случае если другие правила в этой цепочке не подошли. А судя по отсутствию правил, связанных с IP-адресами контейнеров, в цепочке DOCKER, ни одного контейнера не запущено или они не в bridge-сетях.

Можно посмотреть docker network inspect test-app для изучения чё как запущен контейнер. А также docker network inspect bridge - там будет в том числе список контейнеров с адресами.

[shurshur]

Ayudag, ещё я бы проверил нет ли на хосте какой-нить управлялки iptables типа firewalld.

[Ayudag]

Valentin Barbolin, виноват, не запустил контейнер.

# Generated by iptables-save v1.8.10 (nf_tables) on Wed Oct 23 22:51:04 2024
*filter
:INPUT ACCEPT [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 8080 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT
# Completed on Wed Oct 23 22:51:04 2024
# Generated by iptables-save v1.8.10 (nf_tables) on Wed Oct 23 22:51:04 2024
*nat
:PREROUTING ACCEPT [1995:93938]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [129:9071]
:POSTROUTING ACCEPT [129:9071]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.2/32 -d 172.17.0.2/32 -p tcp -m tcp --dport 8080 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 8001 -j DNAT --to-destination 172.17.0.2:8080
COMMIT
# Completed on Wed Oct 23 22:51:04 2024