Windows Docker Swarm跨节点容器通信故障及网络驱动选型咨询

一、跨节点容器通信失败及反向访问异常的原因 #

• Windows防火墙拦截：Windows默认防火墙未开放Swarm overlay网络所需的通信端口，包括VXLAN的4789 UDP端口、Swarm集群管理的2377 TCP端口、节点间发现的7946 TCP/UDP端口。Linux节点通常默认允许这些流量，因此能单向访问Windows容器，而反向流量被防火墙阻断。
• VXLAN配置不兼容：Windows与Linux的Docker VXLAN实现存在差异，若Windows容器的MTU设置大于物理网卡MTU，会导致数据包分片失败，反向通信出现丢包。需确保所有节点的overlay网络MTU统一且适配物理网络。
• 路由表配置错误：Windows Server节点未正确添加overlay网络的跨节点路由条目，导致容器发出的数据包无法路由到Linux节点容器；而Linux节点的路由配置自动适配Swarm overlay规则，因此能正常访问Windows容器。
• Docker版本不匹配：Windows与Linux节点的Docker版本差异过大，导致Swarm overlay网络的协议实现不一致，反向通信出现兼容性问题，建议保持所有节点Docker版本一致。

二、支持多节点Windows容器通信的网络驱动 #

在Transparent、Bridge、L2Bridge三种本地驱动中，Transparent是唯一支持多节点Windows容器通信的选项：

• Transparent网络直接将容器接入物理网络，容器获取与宿主机同网段的独立IP，跨节点容器可通过物理网络直接通信，只要节点物理网络连通且防火墙允许相关流量。
• Bridge是Windows容器默认的NAT网络，容器使用内部子网IP，仅能与本地宿主机及同节点容器通信，跨节点无法直接访问。
• L2Bridge使容器与宿主机处于同一二层广播域，但仅作用于本地节点，不支持跨节点的路由或VXLAN封装，无法实现多节点容器通信。

内容的提问来源于stack exchange，提问作者aws test