Как пробросить GRE IP в Docker?

Question

[waltaki]

Здравствуйте.

Использую 1 IP купленный в OVH, для бомж защиты своего проекта от лайтовых атак. Пробрасываю его на основную машину с помощью GRE туннеля.
На основной машине всё работает прекрасно, и запускать приложения на нём возможно.
Но, когда я запускаю докер контейнер с этим IP из GRE, то в самом контейнере нечего не работает на нём.
Почитал, возможно нужно использовать GRE TAP, чтобы на него создать мост, но пока не проверял.
Интересует решение вопроса именно с GRE туннелем. Это возможно?

Например, запуск с основным IP машины такой команды:

docker run --name some-nginx -p 168.119.1.1:8080:80 -d nginx # Работает
docker run --name some-nginx -p 135.125.250.1:8080:80 -d nginx # Не работает

и сайт открывается по 168.119.1.1:8080, но если я напишу IP полученный из GRE туннеля (135.125.250.1), то нечего уже не работает.

UDP:

начало-туннеля# curl 135.125.250.1:8080 # Работает
конец-туннеля# curl 135.125.250.1:8080 # Работает
через-интернет# curl 135.125.250.1:8080 # Не работает

Comments

[shurshur]

Вообще говоря, должно работать, docker просто создаёт DNAT в iptables. Этот IP точно IP локального конца туннеля?

[waltaki]

shurshur, я всё делал по этой статье https://community.hetzner.com/tutorials/linux-setu... даже не знаю, конечный ли ип выходит в итоге

[shurshur]

waltaki, в ip tunnel там указываются IP серверов, между которыми поднимается туннель. Фактически, туннель - это виртуальный провод между этими серверами, на концах которого командой ip addr назначаются ip-адреса.

Например, пусть на стороне сервера с docker адрес 10.0.0.2, а на той стороне - 10.0.0.1. Тогда надо пробрасывать 10.0.0.2:8080:80. С сервера 10.0.0.1 проверять 10.0.0.2:8080. Если всё ещё не работает, то уже диагностировать. Начать с пинга 10.0.0.2, ещё можно посмотреть iptables -t nat -L -n -v на наличие срабатываний на пробросе порта 8080. Можно включать тяжёлую артилерию - tcpdump.

Как заработает доступность порта с 10.0.0.1, можно разбираться дальше. В типичной ситуации используют nginx в качестве прокси.

[waltaki]

shurshur, кстати, если делать curl 135.125.250.1:8080 с хоста начала туннеля, и хоста с самим докером - то ответ приходит.
То есть, когда я запускаю его в докере, почему-то перестают доходить пакеты из вне.
При этом, если занять этот порт на машине с докером прост, без докера - всё работает.
Может с роутами что-то шаманить нужно

[shurshur]

waltaki, кстати да, с роутами... Если до конечной точки доходит оригинальный IP, то он по роутингу пойдёт мимо туннеля в обратную сторону. Тут уже будет упражнение на настройку policy routing.