Podman同节点混合rootful与rootless Pod的DNS端口转发方案咨询

一、是否必须用rootful进程/Pod/容器转发53端口？ #

不是必须，但这是最直接的实现方式之一。还有几种替代方案可以避免依赖额外的rootful组件，具体可根据你的环境安全需求选择。

可行方案分类： #

1. Rootful 端口转发（直接但需root权限）

• iptables 转发：在节点上用root权限配置iptables规则，将53端口的UDP/TCP流量转发到10053：

  # UDP转发规则
  iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-port 10053
  # TCP转发规则
  iptables -t nat -A PREROUTING -p tcp --dport 53 -j REDIRECT --to-port 10053
  

  可通过iptables-save将规则持久化到对应配置文件（如Debian/Ubuntu的/etc/iptables/rules.v4）。

• Rootful Nginx 转发：如果已计划部署Nginx做HTTPS代理，可复用其stream模块处理DNS转发。需确保Nginx编译时包含--with-stream参数，然后添加如下配置：

  stream {
      server {
          listen 53 udp;
          proxy_pass 127.0.0.1:10053;
          proxy_responses 1;
          timeout 5s;
      }
      server {
          listen 53 tcp;
          proxy_pass 127.0.0.1:10053;
      }
  }
  

  将该配置并入Nginx主配置，启动rootful的Nginx容器或服务即可。

2. 无需rootful组件的替代方案

• 修改系统sysctl参数：允许非root进程监听特权端口（53），执行以下命令并持久化：

  # 临时生效
  sysctl net.ipv4.ip_unprivileged_port_start=53
  # 永久生效，写入/etc/sysctl.conf或/etc/sysctl.d/99-unprivileged-ports.conf
  echo "net.ipv4.ip_unprivileged_port_start=53" >> /etc/sysctl.conf
  sysctl -p
  

  配置后，rootless Pod里的DNS服务可直接监听53端口，无需任何转发。注意：该参数为系统级设置，所有非root进程都能监听53及以上特权端口，需评估安全风险。

• Systemd Socket 激活：用systemd创建监听53端口的socket，再将连接交给rootless的DNS进程处理。示例配置：

  1. 创建/etc/systemd/system/dns-socket.service：

     [Unit]
     Description=DNS Socket Activation
     
     [Socket]
     ListenStream=0.0.0.0:53
     ListenDatagram=0.0.0.0:53
     SocketUser=your-rootless-user
     SocketGroup=your-rootless-group
     
     [Install]
     WantedBy=sockets.target
     

  2. 创建对应服务文件，启动rootless的DNS进程让其继承该socket。这种方式无需DNS进程拥有root权限，socket由systemd（root）创建并传递给非root进程。

二、能否用同节点rootful Nginx实现转发？ #

可以。如上述Rootful Nginx转发方案所示，只要Nginx启用了stream模块，就能同时处理HTTPS代理（HTTP模块）和DNS转发（stream模块）。只需在Nginx配置中同时包含http和stream块即可，无需单独部署多个实例。

三、最优方案推荐 #

• 如果环境允许修改系统参数，修改sysctl参数让rootless进程直接监听53是最简洁的方案，无额外组件依赖。
• 如果不能修改系统参数，iptables转发比Nginx转发更轻量，无需运行额外服务进程。
• 如果已需要部署Nginx做HTTPS代理，复用Nginx的stream模块是最经济的方案，减少组件数量。

内容的提问来源于stack exchange，提问作者rdelangh