将 docker0 放在 NAT 后面答案

【问题标题】：Put docker0 behind NAT将 docker0 放在 NAT 后面
【发布时间】：2017-02-20 09:08:04
【问题描述】：

我已经在 3 台物理机上安装了默认设置的 docker。 Docker 在桥接模式下使用默认 ip 172.17.0.1 创建了接口 docker0。

我希望这个网络是私有的。问题是我无法 ping 172.17.0.1 但我可以 ping 172.17.0.1。为什么会这样？我希望这个网络完全私有。

➜  ~ arping -I eno1 172.17.0.1                                                                         
ARPING 172.17.0.1 from 172.19.20.35 eno1
Unicast reply from 172.17.0.1 [00:19:99:16:3E:24]  0.678ms
Unicast reply from 172.17.0.1 [00:19:99:16:3E:70]  0.685ms
Unicast reply from 172.17.0.1 [70:4D:7B:3D:83:33]  0.687ms

在公司网络上运行它是否安全，或者我应该获得系统管理员的许可？

【问题讨论】：

标签： networking docker nat bridge

【解决方案1】：

创建的网桥对运行它的主机是私有的。您能否验证 IP 172.17.0.1 不是您的私有/公司网络的一部分？您网络中的其他主机可能正在响应。

如果这是问题所在，您可能应该为 docker0 网桥使用另一个 IP 和 CIDR。 docker 内部 CIDR 和私有/企业网络 CIDR 之间的冲突将导致容器内出现奇怪且难以调试的行为。

请阅读https://docs.docker.com/engine/userguide/networking/default_network/custom-docker0/了解如何自定义这些设置的详细信息。

【讨论】：

172.17.0.1 不是公司网络的一部分。我可以从响应中看到与 docker 桥接的物理地址相同的 MAC 地址。所以肯定是 docker 在响应。我也尝试更改 docker0 的 ip，但这是同样的问题。
好的，那么我不知道它为什么会响应，如果这是它应该的方式。但是，它仍然应该是您的主机私有的。只要没有路由和 NAT 设置来将流量定向到此网桥，您就应该可以安全地使用它。
好吧。我的系统管理员很生气。对我来说也很奇怪。还是谢谢你