Podman容器无法通过macvlan网络从DHCP获取IP，请求排查配置问题

看起来你的DHCP服务器确实在正常运行——从日志里能看到它收到了容器的DHCPDISCOVER请求，也发出了OFFER，但容器那边始终收不到回应，导致CNI的DHCP服务一直重试最终失败。结合你的配置和日志，问题大概率出在macvlan的网络特性限制和主机的转发规则上，我来帮你一步步排查解决：

核心问题分析 #

macvlan有个容易被忽略的默认特性：父接口（你的enp2s0）和它创建的macvlan子接口（容器的eth0）之间默认无法直接通信。而你的DHCP服务器恰好运行在enp2s0所在的主机上，这就导致了尴尬的局面：

• 容器的DHCPDISCOVER广播包能正常到达DHCP服务器
• 但DHCP服务器发回的OFFER包无法被容器接收，主机内核会直接阻止这个跨macvlan子接口的流量

解决步骤 #

1. 给主机添加macvlan子接口，打通主机与macvlan网络的通信 #

这是最关键的一步，创建一个和podman_network同类型的macvlan子接口，让主机能和容器所在的macvlan网段正常通信：

# 创建macvlan子接口mac0，绑定到enp2s0，使用bridge模式
ip link add mac0 link enp2s0 type macvlan mode bridge
# 给子接口分配同网段的IP（比如10.0.0.2/8，注意不要和现有IP冲突）
ip addr add 10.0.0.2/8 dev mac0
# 启用这个子接口
ip link set mac0 up
# 添加路由，让主机能访问macvlan容器所在的10.0.2.0/24网段
ip route add 10.0.2.0/24 dev mac0

完成后重启你的podman容器，应该就能正常获取DHCP IP了。如果需要永久生效，可以把这些命令加到/etc/rc.local或者创建一个systemd服务。

2. 检查防火墙规则是否阻止了DHCP流量 #

DHCP使用UDP 67（服务器端口）和68（客户端端口），如果主机的防火墙（iptables/nftables/ufw）阻止了这些端口的流量，也会导致OFFER包无法传递。可以临时关闭防火墙测试：

# 以ufw为例
ufw disable
# 或者iptables清空规则临时开放
iptables -F && iptables -P INPUT ACCEPT && iptables -P OUTPUT ACCEPT && iptables -P FORWARD ACCEPT

如果关闭防火墙后容器能正常获取IP，就需要添加永久的防火墙规则：

# 允许DHCP相关的UDP流量
iptables -A INPUT -i enp2s0 -p udp --dport 67 -j ACCEPT
iptables -A OUTPUT -o enp2s0 -p udp --sport 68 -j ACCEPT
iptables -A FORWARD -i enp2s0 -o mac0 -p udp --dport 68 -j ACCEPT
iptables -A FORWARD -i mac0 -o enp2s0 -p udp --dport 67 -j ACCEPT

3. 验证DHCP服务器配置 #

你的dhcpd.conf配置看起来没问题：

• 子网10.0.0.0/8和enp2s0的IP匹配
• 地址池范围有效，也开启了authoritative确保服务器是权威的
  从日志看服务器确实能收到容器的请求，所以配置本身没有问题，主要还是网络转发的问题。

额外排查点 #

如果上面的步骤还没解决，可以试试：

• 确认enp2s0的混杂模式是否开启：macvlan需要父接口开启混杂模式，执行ip link set enp2s0 promisc on试试
• 重建podman网络：删除现有网络再重新创建，可能修复CNI插件的异常：podman network rm podman_network && podman network create --driver macvlan --gateway 10.0.0.1 --subnet 10.0.0.0/8 -o parent=enp2s0 podman_network

备注：内容来源于stack exchange，提问作者Justin808