如何在Devcontainer内访问公司VPN上的HashiCorp Vault资源？

• 公司VPN环境部署HashiCorp Vault实例，地址为 https://vault.company.io
• 主机执行认证命令可正常获取令牌：

  VAULT_ADDR=https://vault.company.io vault login -method=oidc -namespace=my-namespace --token-only
  

• Devcontainer内执行上述命令报错：

  Error authenticating: Put "https://vault.company.io/v1/auth/oidc/oidc/auth_url": dial tcp 172.21.20.172:443: connect: no route to host
  

• Devcontainer可正常访问外网（如 curl www.google.com 可行），但执行 curl https://vault.company.io 提示：

  curl: (7) Failed to connect to vault.secrets.hellofresh.io port 443: No route to host
  

• 已尝试在 devcontainer.json 中添加 "runArgs": ["--network=host"]，无效果

• 检查VPN路由转发配置
  多数VPN客户端默认不会将路由规则同步给Docker容器网络栈。需确认VPN客户端是否开启「允许其他设备共享此VPN连接」选项，或是否配置了推送Vault所在网段（如172.21.0.0/16）的路由规则到Docker环境。例如OpenVPN需确保包含 push "route 172.21.0.0 255.255.0.0" 这类配置。

• 修正Host网络模式配置
  不同系统下--network=host的行为有差异：

  • Windows/macOS（Docker Desktop）：该参数不会让容器直接复用主机网络栈，可尝试在Docker Desktop设置中开启「允许容器访问主机网络」，或用host.docker.internal作为主机别名访问Vault——先在主机确认host.docker.internal能解析到主机IP，再在Devcontainer中将Vault地址替换为https://host.docker.internal:443，或手动在容器/etc/hosts添加映射：172.21.20.172 vault.company.io。
  • Linux环境：若参数未生效，检查devcontainer.json是否有其他网络配置冲突，或直接手动启动容器测试：docker run --network=host ...。

• 手动添加路由规则

  • 主机端给Docker网桥添加路由（替换tun0为实际VPN接口，172.21.0.0/16为Vault所在网段）：

    sudo ip route add 172.21.0.0/16 dev tun0
    

  • Devcontainer内部添加路由（替换<主机VPN接口IP>为实际值）：

    sudo ip route add 172.21.20.172/32 via <主机VPN接口IP>
    

• 排查DNS解析问题
  注意到Devcontainer中curl时解析的是vault.secrets.hellofresh.io，与主机使用的vault.company.io不一致，需验证DNS解析：

  • 在Devcontainer内执行nslookup vault.company.io，确认是否解析到正确的Vault IP（172.21.20.172）。
  • 若解析错误，可在devcontainer.json中配置公司内部DNS：

    "runArgs": ["--dns=公司DNS服务器IP"]
    

    或手动修改容器内/etc/resolv.conf添加内部DNS服务器。

内容的提问来源于stack exchange，提问作者jamiet