环境Centos7 、docker v1.20 , IP 192.168.26.136 (NAT模式) ; 隔壁的centos7 Ip 192.168.26.137 (NAT模式)
外面windows7 : 192.168.1.55
最近重温docker,安装Docker GUI之portainer-ce
参考:https://blog.csdn.net/youlinhuanyan/article/details/113814285 , https://documentation.portainer.io/v2.0/deploy/ceinstalldocker/
docker pull portainer/portainer-ce
docker volume create portainer_data
docker run -d -p 8000:8000 -p 9000:9000 --name=portainer --restart=always -v /var/run/docker.sock:/var/run/docker.sock -v portainer_data:/data portainer/portainer-ce
此时外面的win访问 192.168.26.136:9000 访问连接超时,telnet 9000也不通。隔壁的137 curl -I 192.168.26.136:9000也是timeout。
自己本机curl 127.0.0.1:9000是通的。
firewalld和selinux均已关闭
iptables -t filter --line -vnL 。 看样子访问9000端口,是要通过FORWARD链里 DOCKER链 来转发运作的
iptables -t nat --line -nvL (后来感觉nat表才是真正转发的,POSTROUTING链(SNAT的,配置SNAT,可以隐藏网内主机的IP地址,也可以共享公网IP,访问互联网) SNAT内 —> 外
PREROUTING则那边是DNAT【外部通过公网IP访问局域网内的服务】) DNAT 外 —> 内
docker ps -a 看端口转发情况
docker logs containername (看日志)
然后看 /var/log/messages,没看到啥有关信息。差点就用朱哥说的LOG规则了
之后随便就嗯添加了几条规则(其实是没作用的):
iptables -P FORWARD ACCEPT
iptables -t filter -I INPUT -s 192.168.26.0/24 -j ACCEPT
iptables -t filter -I INPUT -s 192.168.26.0/24 -j ACCEPT
iptables -t filter -I FORWARD -s 192.168.26.0/24 -j ACCEPT
iptables -t filter -I FORWARD -s 192.168.26.0/24 -j ACCEPT
iptables -t filter -I DOCKER -s 192.168.26.0/24 -j ACCEPT
iptables -t filter -I DOCKER -s 192.168.26.0/24 -j ACCEPT
最终:
原本想看docker网关的,然后一个 docker info 直接想到了某些事情 (朱哥说的FORWARD链要开启 ipv4 forward 具体可参考:
https://www.zsythink.net/archives/1663)
echo “1” > /proc/sys/net/ipv4/ip_forward 之后问题解决
疑问:虽说Firewalld的服务是停的,但是iptables规则还是生效的?FORWARD转发是有作用的?!
END