--cap-add 在 Google Container Engine 中

Question

我在使用 Google Container Engine 时遇到问题，我无法为我的 Docker 容器的运行添加功能。

我需要能够更改 iptables 以便我可以通过我的 Docker VPN 容器转发流量。

当我能够将 --cap-add=NET_ADMIN 传递给运行命令时，docker 容器运行良好，但由于 GCE（似乎）只能运行图像，这似乎是不可能的。运行 docker 映像时出现权限不足错误，因此无法部署。

有没有办法让我改变iptables？还是 GCE 就没有这个能力？

我已经查看了这个issue。其中引用了构建具有特权的映像，但似乎还没有解决。

我的iptables 命令供参考：

iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -o eth0 -m policy --dir out --pol ipsec -j ACCEPT

iptables -t nat -A POSTROUTING -s 10.0.0.0/8 -o eth0 -j MASQUERADE

Answer 1

昨天有一个pull request 提交，以将此功能添加到 Kubernetes。一旦它被添加到 Kubernetes，你应该能够通过从头构建并将集群部署到 GCE 来测试它。

此功能将在 Kubernetes 下一个版本后不久出现在 Google Container Engine 中。