如何让Docker Compose中的容器启动时自动连接PPTP VPN？

核心问题排查与修复步骤 #

1. 修正环境变量格式错误

你当前的环境变量存在多余空格和引号，这会导致容器无法正确解析VPN参数：

• 原配置中PPTP_PASSWORD= "şifre"的等号后有空格，引号会被当作密码的一部分
• 正确格式不需要引号，变量值直接跟在等号后（无空格）

2. 适配Windows Server的PPTP加密要求

Windows Server的PPTP默认使用MPPE加密，需要显式指定加密方式，否则可能连接失败。

3. 配置容器间路由转发

仅将两个容器放在同一网络不足以让container1的流量走VPN，需要：

• 给VPN容器分配固定IP，方便配置路由
• 修改container1的默认路由，指向VPN容器
• 在VPN容器中配置SNAT规则，确保出站流量通过VPN接口转发

修改后的完整Docker Compose配置 #

version: '3.4'

services:
  vpn:
    image: mobtitude/vpn-pptp
    environment:
       - PPTP_USERNAME=user name
       - PPTP_PASSWORD=şifre
       - PPTP_SERVER_IP=你的Windows Server公网IP
       - PPTP_ENCRYPTION=mppe-128  # 适配Windows PPTP加密
    privileged: true
    cap_add:
       - NET_ADMIN  # 最小权限原则，替代ALL
    sysctls:
      - net.ipv4.ip_forward=1
    networks:
       net_backendservices:
         ipv4_address: 172.29.0.2  # 固定VPN容器IP
    command: >
      sh -c "
      # 手动建立PPTP连接
      pptpsetup --create vpn --server $PPTP_SERVER_IP --username $PPTP_USERNAME --password $PPTP_PASSWORD --encrypt &&
      ip link set vpn up &&
      # 将VPN设置为默认路由
      ip route add 0.0.0.0/0 dev vpn &&
      # 配置SNAT让其他容器流量通过VPN转发
      iptables -t nat -A POSTROUTING -o vpn -j MASQUERADE &&
      # 保持容器运行
      tail -f /dev/null
      "

  container1:
    container_name: container1
    image: ${DOCKER_REGISTRY-}container1
    build:
      context: .
      dockerfile: src/Container1/Dockerfile
    networks:
      - net_backendservices
    security_opt:
      - "apparmor:unconfined"
    command: >
      sh -c "
      # 替换默认路由为VPN容器IP
      ip route del default &&
      ip route add default via 172.29.0.2 &&
      # 启动你的应用（替换为container1原启动命令）
      python app.py
      "
    depends_on:
      - vpn  # 确保VPN先启动

networks:
  net_backendservices:
    driver: bridge
    ipam:
      config:
        - subnet: 172.29.0.0/16

额外注意事项 #

1. Container1镜像依赖：如果你的container1镜像没有ip命令，需要在Dockerfile中安装iproute2工具：
   • Debian/Ubuntu：apt-get update && apt-get install -y iproute2
   • Alpine：apk add --no-cache iproute2
2. Windows Server配置检查：
   • 确保PPTP服务已启用
   • 防火墙开放1723端口（PPTP）和GRE协议（IP协议47）
   • 允许Docker主机的IP地址连接PPTP服务
3. 测试步骤：先单独启动VPN容器，进入容器执行ping <Windows Server内部IP>，确认VPN连接成功后再启动container1

内容的提问来源于stack exchange，提问作者Emrah AKIN