Azure VM上Docker容器无法挂载Azure Files NFS共享的排查求助

一、Azure Files NFS共享配置检查 #

• 确认虚拟网络访问限制：检查存储账户防火墙设置，是否将Docker容器所在的自定义子网（CNM/CNI网络的子网）加入允许访问列表。虚拟机能挂载不代表容器子网被授权，需手动添加这些子网范围。
• 验证NFS版本匹配：Azure Files NFS仅支持v4.1/4.2，容器内挂载命令需明确指定版本，例如：

  mount -t nfs4 storageaccount.file.core.windows.net:/storageaccount/sharename /mnt/nfs -o vers=4.1,sec=sys
  

• 检查安全传输要求：若存储账户启用了“需要安全传输”，需确保挂载命令带TLS参数；可临时禁用该选项测试，排除加密层干扰。

二、Docker网络配置调整 #

CNM默认桥接网络 #

• 排查子网冲突：执行docker network inspect bridge查看桥接子网，若与Azure VNet子网重叠，修改/etc/docker/daemon.json的bip参数指定新子网，重启Docker生效：

  {
    "bip": "192.168.100.1/24"
  }
  

• 启用IP转发：确认宿主机/proc/sys/net/ipv4/ip_forward值为1，否则执行echo 1 > /proc/sys/net/ipv4/ip_forward，并在/etc/sysctl.conf添加net.ipv4.ip_forward=1永久生效。
• 放行NFS端口：检查宿主机iptables规则，确保未拦截容器到2049端口（NFS服务端口）的流量，可临时执行iptables -F测试，若挂载成功则添加持久化规则：

  iptables -A FORWARD -p tcp --dport 2049 -j ACCEPT
  iptables -A FORWARD -p udp --dport 2049 -j ACCEPT
  

CNI网络 #

• 确认子网互通：若使用Azure CNI，容器IP需属于Azure VNet子网，且该子网已被添加到存储账户允许列表；若用第三方CNI，需确保CNI子网与Azure VNet路由可达。
• 检查CNI防火墙规则：确保CNI插件未阻止容器出站访问2049、111（RPC绑定）端口。

三、容器权限精细化配置 #

• 替换--privileged：使用最小必要权限启动容器，足够支持NFS/Blobfuse2挂载：

  docker run -it --cap-add SYS_ADMIN --cap-add DAC_READ_SEARCH --security-opt apparmor:unconfined ubuntu:20.04
  

  • SYS_ADMIN：提供挂载文件系统的权限
  • DAC_READ_SEARCH：允许读取系统文件权限
  • apparmor:unconfined：解除Ubuntu默认AppArmor对挂载的限制

Docker Azure Files卷驱动（推荐） #

直接使用Docker官方支持的Azure Files卷，无需手动挂载，也不需要额外容器权限：

# 创建Azure Files卷
docker volume create --driver azurefile --name my-nfs-volume \
  --opt share-name=my-sharename \
  --opt storage-account-name=my-storageaccount
# 运行容器挂载卷
docker run -d -v my-nfs-volume:/mnt/azurefile nginx

四、Azure虚拟网络与NSG检查 #

• 验证NSG出站规则：确保虚拟机子网的NSG允许出站TCP/UDP 2049、111端口流量，默认NSG规则通常允许，但需确认无自定义规则拦截。
• 启用服务端点：在虚拟机所在子网开启Microsoft.Storage服务端点，确保流量直接路由到Azure Files，避免公网路由导致的超时或权限问题。
• 检查路由表：确认子网路由表无阻止容器网络到Azure Files的路由条目。

五、Blobfuse2专属配置 #

使用Blobfuse2时，无需--privileged，只需添加以下参数即可：

docker run -it --cap-add SYS_ADMIN --device /dev/fuse ubuntu:20.04

容器内需提前安装fuse和blobfuse2工具，确保/dev/fuse设备正常映射。

内容的提问来源于stack exchange，提问作者Balint Miko