Docker化Azure Functions配置OpenVPN遇tun模块问题及替代方案咨询

问题背景 #

我需要创建一个Docker化的Azure Function，将所有HTTP流量通过OpenVPN隧道路由，并且每隔X分钟切换VPN连接配置。但容器内的OpenVPN无法工作，无法创建tun/tap接口，加载tun模块时提示模块不存在。

当前配置 #

Dockerfile #

FROM mcr.microsoft.com/azure-functions/dotnet-isolated:4-dotnet-isolated8.0-appservice

RUN apt-get update && \
    apt-get install -y openvpn iputils-ping psmisc kmod iproute2 wget unzip

COPY .pass /etc/openvpn/.pass
WORKDIR /etc/openvpn

# download list of ovpn configs and unzip them

ENV AzureWebJobsScriptRoot=/home/site/wwwroot \
    AzureFunctionsJobHost__Logging__Console__IsEnabled=true

COPY --from=installer-env /home/site/wwwroot /home/site/wwwroot
COPY startup.sh /home/site/wwwroot/startup.sh
RUN chmod +x /home/site/wwwroot/startup.sh

ENTRYPOINT ["/bin/bash", "/home/site/wwwroot/startup.sh"]

启动脚本 #

while true; do
    CONFIG_FILE=$(find $CONFIG_DIR -type f -name "*.ovpn" | shuf -n 1)
    kill_vpn
    sleep 5
    start_vpn "$CONFIG_FILE"
    sleep 30
    if ping -c 1 -W 10 8.8.8.8 > /dev/null; then
        echo "$(date): VPN successfully connected." >> $LOGFILE
    else
        echo "$(date): VPN connection failed." >> $LOGFILE
    fi
    sleep 600
done &
# Start the Azure Function after the VPN is up and running
echo "Starting Azure Function"
cd /home/site/wwwroot || exit
dotnet exec /azure-functions-host/Microsoft.Azure.WebJobs.Script.WebHost.dll

报错信息 #

部署到Azure容器实例后，OpenVPN报错：

ERROR: Cannot open TUN/TAP dev /dev/net/tun: No such file or directory (errno=2)

执行modprobe tun时提示：

modprobe: FATAL: Module tun not found in directory /lib/modules/5.10.102.2-microsoft-standard

解决方案 #

一、在Azure中启用TUN/TAP设备 #

Azure容器实例（ACI）默认不提供TUN/TAP设备，可通过以下方式解决：

• 切换到Azure Kubernetes Service (AKS)：AKS节点内核默认包含tun模块，部署容器时需添加特权模式并挂载/dev/net/tun设备，Pod配置示例：

  securityContext:
    privileged: true
  volumeMounts:
    - name: tun-dev
      mountPath: /dev/net/tun
  volumes:
    - name: tun-dev
      hostPath:
        path: /dev/net/tun
  

• 使用Azure VM托管容器：创建Azure虚拟机后，手动执行modprobe tun加载模块，运行容器时添加特权参数并挂载设备：

  docker run --privileged -v /dev/net/tun:/dev/net/tun your-image-name
  

二、替代方案：实现可扩展的多实例VPN路由 #

若无法使用特权容器，可采用以下架构：

• 独立VPN代理层：部署一组VPN代理容器（每个代理使用不同配置并定期切换）到Azure容器应用或AKS，启用特权模式和TUN设备。Azure Function实例通过环境变量指定代理地址，将所有HTTP流量路由至代理，配合服务发现机制实现自动切换VPN。
• Azure虚拟网络路由方案：将Azure Function部署到虚拟网络中，配置VPN网关连接第三方VPN服务，通过VNet路由表将Function流量导向VPN网关。若需定期切换VPN，可通过Azure API或脚本更新网关的连接配置。

内容的提问来源于stack exchange，提问作者Tiberio