如何将Docker容器作为VPN网关，让Mac主机流量通过Telepresence访问K8s集群

1. 确保容器具备网络权限与必要设备挂载 #

Mac的Docker基于HyperKit虚拟机，--net=host和Linux下的行为有差异，必须给容器足够权限才能运行Telepresence的VPN隧道：

• 启动容器时执行以下命令，确保挂载tun设备并获得特权权限：

  docker run -d --name telepresence-proxy --net=host --privileged -v /dev/net/tun:/dev/net/tun debian:latest
  

• 进入容器后，完成Telepresence的集群连接配置，用telepresence status确认VPN隧道已正常建立，容器内可正常访问集群服务与Pod。

2. 配置主机路由，将集群流量导向容器 #

需要把Kubernetes的服务网段、Pod网段的流量路由到容器所在的Docker虚拟机网络：

1. 先查询你的Kubernetes集群的服务CIDR和Pod CIDR（通常默认是10.96.0.0/12和10.244.0.0/16，可通过kubectl cluster-info dump | grep -E 'service-cluster-ip-range|pod-network-cidr'获取）。
2. 在Mac主机终端添加路由规则：

   # 替换192.168.65.3为你的Docker虚拟机IP（可通过docker inspect bridge获取Gateway字段）
   sudo route add -net 10.96.0.0/12 192.168.65.3
   sudo route add -net 10.244.0.0/16 192.168.65.3
   

3. 如果需要全局代理（所有非本地流量走容器），添加默认路由时要保留本地网络的基础路由，避免断网：

   sudo route add default 192.168.65.3
   # 强制本地回环和局域网流量不走代理
   sudo route add -net 127.0.0.0/8 127.0.0.1
   sudo route add -net 192.168.0.0/16 192.168.xxx.1  # 替换为你的局域网网关IP
   

3. 调整主机DNS设置，指向容器的代理DNS #

Telepresence会代理集群内部DNS，所以要让主机的DNS查询走容器：

• 图形化设置：打开「系统设置」→「网络」→ 选中当前网络接口（如Wi-Fi）→「详细信息」→「DNS」，删除现有服务器，添加Docker虚拟机IP（如192.168.65.3）。
• 命令行临时设置（重启后失效）：

  sudo networksetup -setdnsservers Wi-Fi 192.168.65.3
  

  恢复默认DNS可执行：

  sudo networksetup -setdnsservers Wi-Fi Empty
  

4. 验证配置有效性 #

• 测试DNS解析：nslookup kubernetes.default.svc.cluster.local，应返回集群内的服务IP。
• 测试TCP连通性：curl http://kubernetes.default.svc.cluster.local，应收到Kubernetes API的响应。
• 检查路由表：netstat -rn，确认集群网段的路由已指向Docker虚拟机IP。

关键注意事项 #

• Mac Sonoma的隐私安全设置可能拦截路由修改，需在「系统设置」→「隐私与安全性」→「完全磁盘访问」中给终端授权。
• 重启Docker或容器后，路由和DNS设置可能失效，需要重新配置。
• 如果--net=host模式不稳定，可改用Docker桥接网络，给容器分配静态IP，再将主机路由指向该静态IP。

内容的提问来源于stack exchange，提问作者java_doctor_101