如何在Debian Docker容器中以root权限执行系统初始化脚本，并以非特权用户启动容器？

你的核心需求很明确：容器启动时先以root权限创建tun设备并授权给openvpn用户，之后切换到该非特权用户运行OpenVPN服务。先分析下现有Dockerfile里的几个问题：

• 构建阶段执行的service openvpn condrestart、update-rc.d等操作在容器启动时不会生效，Docker构建层的进程不会被保留
• 依赖rc.local来执行初始化命令并不适合Docker场景，多数轻量Debian镜像默认没有启用这个服务
• 提前切换到openvpn用户后，entrypoint无法再执行需要root权限的tun设备创建命令

下面是优化后的完整方案：

1. 重新编写entrypoint脚本 #

创建一个能先以root执行初始化，再切换用户的entrypoint.sh：

#!/bin/bash

# 以root权限创建tun设备并授权给openvpn用户
openvpn --rmtun --dev tun0
openvpn --mktun --dev tun0 --dev-type tun --user openvpn --group openvpn

# 切换到openvpn用户启动OpenVPN服务，exec保证信号正确传递
exec su - openvpn -c "openvpn --config /etc/openvpn/client.ovpn"

给脚本添加执行权限：

chmod +x entrypoint.sh

2. 简化优化后的Dockerfile #

去掉构建阶段无用的服务操作，聚焦核心依赖安装、用户配置和文件复制：

FROM debian:stable-slim

# 安装核心依赖包，清理缓存减小镜像体积
RUN apt update && apt install -y --no-install-recommends \
    openvpn iproute2 sudo \
    && rm -rf /var/lib/apt/lists/*

# 创建openvpn用户并配置sudo权限（如果后续需要非特权用户执行ip命令）
RUN adduser --disabled-password --gecos "" openvpn \
    && echo "openvpn ALL=(ALL) NOPASSWD: /sbin/ip" >> /etc/sudoers \
    && echo "Defaults:openvpn !requiretty" >> /etc/sudoers

# 复制所需文件到容器对应路径
COPY entrypoint.sh /entrypoint.sh
COPY client.ovpn /etc/openvpn/client.ovpn
COPY unpriv-ip /usr/local/sbin/unpriv-ip

# 设置脚本执行权限
RUN chmod 755 /entrypoint.sh /usr/local/sbin/unpriv-ip

# 容器启动时默认以root运行entrypoint
ENTRYPOINT ["/entrypoint.sh"]

3. 关键注意事项 #

• 容器启动时必须添加--cap-add NET_ADMIN权限，否则即使root用户也无法创建tun设备，启动命令示例：

  docker run --cap-add NET_ADMIN -d your-openvpn-image-name
  

• 如果你确实需要编译自定义版本的OpenVPN，可以把原Dockerfile中的编译步骤加回，但优先推荐使用官方预编译包来减少镜像体积和构建复杂度
• exec命令的作用是让OpenVPN进程成为容器的PID 1，这样容器停止时能正确接收信号，避免强制杀死进程

这样配置后，就能完美满足你的需求：初始化阶段用root创建并授权tun设备，之后以非特权用户运行OpenVPN服务。

内容的提问来源于stack exchange，提问作者Бодя Леший