如何从Docker容器访问主机IPC并隔离容器内部IPC？

问题 #

专有应用A由多进程组成，其消息队列、共享内存、信号量大量使用硬编码文件名，需以root运行且文档缺失。由于硬编码文件名的限制，同一主机无法同时运行多个实例，因此采用Docker做隔离。

现在需要让主机上的应用B创建新的消息队列/共享内存/信号量，与各容器内的应用A通信，同时不能干扰应用A内部的IPC。

使用--ipc=host参数无法满足需求，因为会导致应用A内部的IPC名称冲突。

在Debian主机上针对消息队列做实验时，绑定挂载未达预期效果：

docker run -ti --privileged --mount type=bind,src=/dev/mqueue/mq_test,dst=/dev/mqueue/mq_test ubuntu:v1 bash

主机上的应用B创建了/dev/mqueue/mq_test，容器内bash显示mqueue文件系统已正确挂载：

mqueue on /dev/mqueue/mq_test type mqueue (rw,nosuid,nodev,noexec,relatime)

甚至可以执行：

root@e39210cd6fa3:/# cat /dev/mqueue/mq_test 
QSIZE:18         NOTIFY:0     SIGNO:0     NOTIFY_PID:0

主机上的应用B已向队列发送18字节数据，但容器内的测试程序无法读取，卡在mq_receive处，而主机上编译的相同程序可正常消费数据（怀疑是Docker配置问题）。

测试程序代码如下：

#include <mqueue.h>
#include <stdio.h>

int main(int argc, char *argv[])
{
    mode_t mode = S_IRUSR | S_IWUSR;
    mqd_t mq_fd = mq_open("/mq_test", O_CREAT | O_RDONLY, mode, NULL);

    if (mq_fd == -1) {

        perror("mq_open");
        return -1;
    }

    char buf[10] = {0};

    struct mq_attr attr;
    
    if (mq_getattr(mq_fd, &attr) == -1) {
    
        perror("mq_getattr");
        return -1;
    }

    if (mq_receive(mq_fd, buf, attr.mq_msgsize, NULL) == -1) {

        perror("mq_receive");
        return -1;
    } else
        printf("buf = %s", buf);

    puts("\n");

    return 0;
}

核心需求：是否有Docker技术或方案可实现共享主机创建的消息队列给容器，同时容器内创建的消息队列对主机不可见？

解决方案 #

1. 自定义IPC命名空间 + 挂载主机mqueue目录 #

Docker默认给每个容器分配独立IPC命名空间，这天然保证容器内创建的IPC不会被主机/其他容器看到。要共享主机特定IPC，需挂载主机完整的mqueue目录，而非单个队列文件：

• 主机创建消息队列mq_test后，调整权限让容器可访问：

  chmod 666 /dev/mqueue/mq_test
  

• 启动容器时挂载主机/dev/mqueue到容器内临时目录：

  docker run -ti --cap-add=SYS_ADMIN --mount type=bind,src=/dev/mqueue,dst=/host_mqueue ubuntu:v1 bash
  

• 容器内将主机队列链接到自身mqueue目录，让应用A通过硬编码路径访问：

  ln -s /host_mqueue/mq_test /dev/mqueue/mq_test
  

这样容器内应用可访问主机队列，而容器自建队列仅存在于自身IPC命名空间，主机无法感知。

2. 共享内存/信号量的适配方案 #

对于共享内存和信号量，可通过权限匹配实现主机与容器的单向共享：

• 主机创建IPC资源时，设置开放权限（如0666）或指定特定GID
• 启动容器时，通过--group-add加入主机对应GID，让容器内root进程可访问主机IPC
• 容器自身IPC仍处于独立命名空间，不会暴露给主机

3. 修复原绑定挂载无效的原因 #

你之前绑定单个队列文件无效，是因为mqueue文件系统的文件只是IPC对象的映射，而非实际文件。容器内mq_open("/mq_test")访问的是自身IPC命名空间内的对象，而非绑定的主机文件。必须挂载完整主机mqueue目录，再通过链接让容器路径指向主机IPC对象。

4. 权限优化 #

• 避免使用--privileged，改用--cap-add=SYS_ADMIN即可获取mqueue挂载权限，提升安全性
• 若需更精细权限控制，可调整主机IPC资源的用户/组ID，与容器内的ID匹配

内容的提问来源于stack exchange，提问作者vazlsky