Docker无root模式下Pasta网络暴露端口失效排查求助

环境与配置信息 #

系统信息 #

uname -a

Linux *** 6.6.74+rpt-rpi-2712 #1 SMP PREEMPT Debian 1:6.6.74-1+rpt1 (2025-01-27) aarch64 GNU/Linux

Docker无Root模式配置 #

~/.config/systemd/user/docker.service.d/override.conf

[Service]
Environment="DOCKERD_ROOTLESS_ROOTLESSKIT_FLAGS=--ipv6 --copy-up=/etc --disable-host-loopback"
Environment="DOCKERD_ROOTLESS_ROOTLESSKIT_MTU=1500"
Environment="DOCKERD_ROOTLESS_ROOTLESSKIT_NET=pasta"
Environment="DOCKERD_ROOTLESS_ROOTLESSKIT_PORT_DRIVER=implicit"

~/.docker/daemon.json

{
 "experimental": true,
 "ipv6": true,
 "fixed-cidr-v6": "fd00::/64",
 "iptables": true,
 "ip6tables": true,
 "log-opts": {
  "max-size": "10m",
  "max-file": "5"
 }
}

启动命令 #

systemctl --user daemon-reload
systemctl --user restart docker

故障现象 #

• 初始启动后所有服务运行正常，容器暴露的80/443端口可正常访问
• 运行数小时后，无法访问容器暴露的端口，但容器本身状态显示为运行中，网络配置看似正常
• 重启系统后问题复现：容器正常启动，但暴露端口依旧无法访问

当前网络检查结果 #

docker network inspect ipv6-net 输出 #

[
    {
        "Name": "ipv6-net",
        "Id": "92d13b9e08df21d1493c8b7657083ec3ce362b5107a8ef86afa4ec22935f78dc",
        "Created": "2025-03-26T01:37:37.86753001+01:00",
        "Scope": "local",
        "Driver": "bridge",
        "EnableIPv4": true,
        "EnableIPv6": true,
        "IPAM": {
            "Driver": "default",
            "Options": null,
            "Config": [
                {
                    "Subnet": "172.18.0.0/16",
                    "Gateway": "172.18.0.1"
                },
                {
                    "Subnet": "fd00::/64",
                    "Gateway": "fd00::1"
                }
            ]
        },
        "Internal": false,
        "Attachable": false,
        "Ingress": false,
        "ConfigFrom": {
            "Network": ""
        },
        "ConfigOnly": false,
        "Containers": {
            "d07f99d1fea21a1195e4f2633881f796054c37448d543b4cd17d80a4adb12ff8": {
                "Name": "nginx-proxy",
                "EndpointID": "d2cece17781ed498f8e15e243401aaab992127b8513b3a707996c3f01f334f22",
                "MacAddress": "7a:66:0b:1d:87:94",
                "IPv4Address": "172.18.0.8/16",
                "IPv6Address": "fd00::8/64"
            },
            ...
        },
        "Options": {},
        "Labels": {
            "com.docker.compose.config-hash": "fba0d480ba32627263ee895579d3cff562bd71ccd258f4ebb77bad3afc248567",
            "com.docker.compose.network": "ipv6-net",
            "com.docker.compose.project": "nginx-proxy",
            "com.docker.compose.version": "2.34.0"
        }
    }
]

docker-compose.yml 端口配置片段 #

services:
  nginx-proxy:
    ...
    ports:
      - "[::]:80:80"
      - "[::]:443:443"
    ...

networks:
  ipv6-net:
    name: ipv6-net
    driver: bridge
    enable_ipv6: true

排查步骤与建议 #

系统层面排查 #

• 检查端口占用：执行 ss -tulpn | grep -E ":80|:443"，确认宿主机的80/443端口是否被其他进程占用，或Docker的端口映射是否还存在
• 查看系统日志：
  • 实时监控Docker服务日志：journalctl --user -u docker.service -f，排查是否有服务崩溃、网络配置异常的报错
  • 查看内核日志：dmesg | grep -E "ipv6|pasta|docker"，检查是否有网络相关的内核错误
• 检查ip6tables规则：执行 ip6tables-save，确认IPv6防火墙规则是否正常，是否存在规则被清空或错误覆盖的情况
• 验证用户会话状态：无Root Docker依赖用户systemd会话，执行 loginctl show-user $USER 查看State字段是否为active，避免会话失效导致网络服务异常

Docker层面排查 #

• 检查端口映射状态：执行 docker port nginx-proxy，确认容器的端口映射是否仍存在且与配置一致
• 检查Docker服务状态：执行 systemctl --user status docker，查看服务是否正常运行，是否有频繁重启、崩溃的记录
• 测试容器内部连通性：
  • 进入容器：docker exec -it nginx-proxy bash
  • 内部测试服务可用性：curl localhost:80，确认容器内的Nginx服务是否正常运行
  • 测试容器到宿主机的连通性：ping <宿主机IPv6地址>，验证容器与宿主机的网络链路是否通畅
• 查看容器日志：执行 docker logs nginx-proxy，排查容器内服务是否有崩溃、连接异常的日志
• 切换网络驱动对比测试：临时修改override.conf中的DOCKERD_ROOTLESS_ROOTLESSKIT_NET=slirp4netns，重启Docker后观察是否仍出现端口失效问题，以此排除Pasta驱动的问题

Pasta驱动层面排查 #

• 检查Pasta进程状态：执行 ps aux | grep pasta，确认Pasta进程是否正常运行，是否存在崩溃、退出的情况
• 检查Pasta网络接口：执行 ip a，查看是否存在Pasta创建的网络接口（如tap0或pasta0），并确认接口的IPv6地址配置是否正常
• 独立测试Pasta稳定性：启动一个简单的测试容器：docker run -d -p [::]:8080:80 nginx，持续监控8080端口的可访问性，观察是否会出现同样的失效问题
• 过滤Pasta相关日志：执行 journalctl --user -u docker.service | grep pasta，排查是否有Pasta驱动相关的报错信息

临时修复建议 #

• 若暂时无法定位根源，可设置定时任务定期重启Docker服务：echo "0 */4 * * * systemctl --user restart docker" | crontab -（每4小时重启一次，可根据实际情况调整）
• 尝试调整Pasta参数：修改override.conf中的DOCKERD_ROOTLESS_ROOTLESSKIT_FLAGS，去掉--disable-host-loopback或调整MTU值，观察是否能提升稳定性

内容的提问来源于stack exchange，提问作者code_name