HAProxy Docker容器内ping命令执行失败问题求助

问题复现 #

构建了基于haproxy:2.6-bullseye的自定义镜像，相关配置如下：

Dockerfile #

FROM haproxy:2.6-bullseye
USER root
RUN apt update && apt install -y iputils-ping iptables
COPY test.cfg /usr/local/etc/haproxy/haproxy.cfg
ENTRYPOINT ["ping", "8.8.8.8"]

test.cfg #

# test.cfg - a noop setup
global
    daemon
    maxconn 256

defaults
    timeout connect 5s
    timeout client  10s
    timeout server  10s

frontend dummy
    bind *:80
    default_backend dummy_backend

backend dummy_backend
    server dummy 127.0.0.1:81 check

使用docker build -t my-haproxy构建后，执行docker run -it --rm my-haproxy仅输出初始PING提示，无后续回包响应。已确认容器内iptables三条链默认策略均为ACCEPT，且实际项目中同网络容器可正常访问网关、DNS及互联网，使用nerdctl而非docker。

排查及解决步骤 #

1. 检查容器内ICMP忽略配置 #

部分镜像可能默认设置了忽略ICMP请求，执行以下命令查看：

docker run -it --rm my-haproxy sysctl net.ipv4.icmp_echo_ignore_all

若结果为net.ipv4.icmp_echo_ignore_all = 1，需修改配置：

• 方案一：在Dockerfile中添加：

  RUN echo "net.ipv4.icmp_echo_ignore_all=0" >> /etc/sysctl.conf
  

• 方案二：启动容器时添加sysctl参数：

  docker run -it --rm --sysctl net.ipv4.icmp_echo_ignore_all=0 my-haproxy
  

2. 检查主机DOCKER-USER链规则 #

主机的DOCKER-USER链可能存在阻止ICMP的规则，执行以下命令查看：

iptables -L DOCKER-USER -v

若发现针对ICMP的DROP规则，添加允许规则：

iptables -I DOCKER-USER -p icmp --icmp-type echo-request -j ACCEPT
iptables -I DOCKER-USER -p icmp --icmp-type echo-reply -j ACCEPT

3. 测试不同网络模式 #

尝试用host网络模式启动容器，验证是否为bridge网络的问题：

docker run -it --rm --network host my-haproxy

若能正常ping通，说明nerdctl默认bridge网络未正确配置ICMP转发，可：

• 切换为自定义网络（实际项目中使用的网络）测试；
• 检查nerdctl的bridge网络配置，确保ICMP协议被允许转发。

4. 容器内抓包排查 #

进入容器手动执行ping并抓包，定位问题点：

docker run -it --rm --entrypoint=sh my-haproxy
# 安装tcpdump
apt update && apt install -y tcpdump
# 抓ICMP包
tcpdump -i any icmp
# 新开一个终端进入同一容器执行ping
docker exec -it <容器ID> ping 8.8.8.8

观察是否有ICMP请求发出，以及是否收到回包：

• 无请求发出：检查容器网络配置、网关是否正常；
• 有请求无回包：检查主机网络或外部网络的ICMP限制。

5. 验证基础镜像网络可用性 #

直接运行基础镜像测试ping，排除自定义配置的影响：

docker run -it --rm haproxy:2.6-bullseye bash
apt update && apt install -y iputils-ping
ping 8.8.8.8

若基础镜像也无法ping通，说明该镜像本身存在网络限制，可更换其他版本（如haproxy:2.6-alpine）测试。

内容的提问来源于stack exchange，提问作者Guido Flohr