Rootless Podman容器无法访问主机监听服务的问题排查

环境信息 #

• 主机操作系统：Ubuntu 22.04.5 LTS
• Podman版本：3.4.4（linux/amd64）
• 部署架构：Rootless Podman，单Pod多容器

需求目标 #

1. Pod内容器间通过指定端口通信；
2. 主机可通过暴露端口访问容器；
3. 容器能访问主机上的非容器化Java应用（监听0.0.0.0:8080）。

已配置的Pod端口映射 #

0.0.0.0:10443->1443/tcp、0.0.0.0:13000->3000/tcp、0.0.0.0:13306->3306/tcp、0.0.0.0:14000->4000/tcp、0.0.0.0:18080->8080/tcp、0.0.0.0:18888->8888/tcp、0.0.0.0:19201->9201/tcp、0.0.0.0:11234->12345/tcp、0.0.0.0:13270->32700/tcp

已验证的正常场景 #

• 主机通过localhost:<主机端口>可正常访问容器；
• Pod内容器间通过localhost:<端口>可正常通信；
• 主机Java服务已确认监听0.0.0.0:8080（ss -tuln | grep 8080验证正常）。

已尝试的排查操作 #

1. Pod创建方式：通过Pod层面统一配置端口映射，添加容器时未使用-p参数，命令如下：

   podman pod create --name mypod -p 10443:1443 -p 13000:3000 -p 13306:3306 -p 14000:4000 -p 18080:8080 -p 18888:8888 -p 19201:9201 -p 11234:12345 -p 13270:32700
   

2. 容器访问主机的尝试：
   • 使用curl http://host.containers.internal:8080、curl http://10.88.0.1:8080（Podman默认网关IP）；
   • 尝试10.0.2.2、10.0.2.100等IP；
   • 均无法建立连接。
3. 防火墙与SELinux排查：临时关闭firewalld、设置SELinux为宽容模式，问题未解决。
4. 启用slirp4netns回环访问：重建Pod时添加--network slirp4netns:allow_host_loopback=true参数，仍无法访问主机服务。
5. DNS解析验证：容器内执行getent hosts host.containers.internal，解析到10.0.2.100，但访问失败。
6. 临时使用host网络：执行podman pod create --name mypod --network host可实现访问，但Rootless模式下官方不推荐，且存在安全风险。

当前问题 #

Rootless Podman容器无法访问主机上监听0.0.0.0:8080的Java服务，已尝试多种Podman推荐的访问方式均无效。

提问 #

如何在Rootless Podman中实现容器到主机的可靠通信？当主机服务监听所有接口时，有没有稳妥的方法让Pod内容器访问该服务？

解决方案 #

1. 优化slirp4netns网络配置（推荐） #

Rootless Podman默认使用slirp4netns网络，需确保回环访问参数正确配置（Podman 3.4.4支持该参数）。重新创建Pod时明确指定网络规则：

podman pod create --name mypod --network slirp4netns:allow_host_loopback=true,port_handler=slirp4netns -p 10443:1443 -p 13000:3000 -p 13306:3306 -p 14000:4000 -p 18080:8080 -p 18888:8888 -p 19201:9201 -p 11234:12345 -p 13270:32700

容器内访问主机服务时，使用host.containers.internal或10.0.2.2（slirp4netns默认主机回环映射IP）。

2. 直接使用主机局域网IP #

在容器内通过主机的真实局域网IP（如192.168.1.100:8080）访问服务，无需依赖Podman特殊DNS或网关，只需确保主机防火墙允许该IP的8080端口访问。

3. 自定义主机映射 #

创建Pod时添加--add-host参数，将主机IP映射为容器内的自定义域名：

podman pod create --name mypod --add-host myhost:192.168.1.100 -p 10443:1443 ...（其余端口映射参数）

容器内通过http://myhost:8080访问主机服务。

4. 升级Podman版本（可选） #

Podman 3.4.4版本相对老旧，4.x版本对Rootless网络支持更完善，修复了部分slirp4netns相关bug，升级后可能解决兼容性问题。

内容的提问来源于stack exchange，提问作者Hamza Belmellouki