Не работает сеть внутры докера?

Question

[wittyrider]

root@799b997bd1ed:/# ping -c 4 ya.ru   
ping: unknown host
root@799b997bd1ed:/# ping -c 4 8.8.8.8 
PING 8.8.8.8 (8.8.8.8): 56 data bytes
--- 8.8.8.8 ping statistics ---
4 packets transmitted, 0 packets received, 100% packet loss

Что то связанное с файрволом? как победит?

update:

root@799b997bd1ed:/# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
4: eth0@if5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:01 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 fe80::42:acff:fe11:1/64 scope link 
       valid_lft forever preferred_lft forever
root@799b997bd1ed:/# ip r
default via 172.17.42.1 dev eth0 
172.17.0.0/16 dev eth0  proto kernel  scope link  src 172.17.0.1 
root@799b997bd1ed:/#

Comments

[ldv]

ip a
ip r
внутри докера

[wittyrider]

ldv: обновил вопрос

[ldv]

wittyrider: 172.17.42.1 пингуется?

[wittyrider]

ldv: да

[ldv]

wittyrider: sysctl net.ipv4.ip_forward на хосте чего говорит?

[wittyrider]

ldv: включено

[ldv]

wittyrider: iptables -S на хосте

[wittyrider]

ldv:

~❯ please iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N DOCKER
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT

[ldv]

wittyrider: и еще iptables -S -t nat на хосте

[wittyrider]

ldv:

~❯ please iptables -S -t nat
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-N DOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
~❯

[ldv]

wittyrider: должно работать по идее
шлюз по умолчанию хост-системы с контейнера пингуется? трассировка до 8.8.8.8 чего говорит?
tcpdump?

[wittyrider]

ldv: не пингуется. трассировка не могу сделать, внутри контейнера нету нужные утилиты.

[ldv]

wittyrider: tcpdump пинги с контейнера видит?

[wittyrider]

ldv:

18:53:25.990744 IP 172.17.0.1 > google-public-dns-a.google.com: ICMP echo request, id 1, seq 4182, length 64
<code>

[wittyrider]

ldv: еще когда пингую основной шлюз хоста:

18:54:19.426517 IP 172.17.0.1 > gateway: ICMP echo request, id 47, seq 4, length 64

[ldv]

wittyrider: это tcpdump с контейнера? а с хоста?

[wittyrider]

ldv: это с хоста выполнял tcpdump -i docker0.
Внутри контроллера не могу установит tcpdump

[wittyrider]

wittyrider: сори отпечатка.

[ldv]

wittyrider: а на физическом интерфейсе хоста, чтобы посмотреть рабоает ли маскарадинг

[wittyrider]

ldv: cold это имя хоста.

19:06:58.989593 IP cold > gateway: ICMP echo request, id 48, seq 27, length 64
19:06:58.989922 IP gateway > cold: ICMP echo reply, id 48, seq 27, length 64

[wittyrider]

ldv: пинговал с контейнера

[ldv]

wittyrider: странно, а iptables -S в контейнере

[wittyrider]

ldv: в контейнере нету iptables

Answer 1

[wittyrider]

Проблема решилось c добавлением IPForward=yes в настройке системд сервиса network.
Решение нашел от сюда https://github.com/docker/docker/issues/15008

p.s. Спасибо ldv за старание.

Answer 2

[Руслан Федосеев]

что то связанно с dns. Все необходимые библиотеки есть?

Comments

[wittyrider]

Все необходимые библиотеки есть?

Думаю есть, на хосте все работает. Уточните какие библотеки должно присувстовать? я проверяю

[ldv]

8.8.8.8 же не пингуется, значит вообще доступа к сети нет

Answer 3

[Евгений Батькович]

у мен была похожая беда, решилось установкой из офиц. репозитария