Docker Stack中用Secrets保护CIFS卷凭据的方法及网络排查

一、能不能直接用Secrets存储CIFS卷的用户名密码？ #

不能。原因是：Docker卷由节点上的Docker daemon进程创建和管理，而Secrets是挂载在容器内部的/run/secrets路径下，daemon进程无法访问容器内的文件系统，所以你在卷的driver_opts里写username=/run/secrets/smb-user是无效的，这也是你配置的核心问题之一。

二、避免YAML明文写凭据的可行方案 #

1. 节点环境变量引用 #

在每个Swarm节点上配置环境变量，然后在Stack YAML中通过变量引用：

• 步骤1：在每个节点上设置环境变量（持久化需写入docker daemon配置）
  临时生效：

  export SMB_USER="你的SMB用户名"
  export SMB_PASSWORD="你的SMB密码"
  

  持久化（需重启docker）：编辑/etc/docker/daemon.json，添加：

  {
    "environment": ["SMB_USER=你的SMB用户名", "SMB_PASSWORD=你的SMB密码"]
  }
  

• 步骤2：修改Stack YAML的卷配置：

  volumes:
    media-movies:
      name: media-movies
      driver: local
      driver_opts:
        type: cifs
        device: "//storage.lan/media-movies"
        o: "addr=storage.lan,vers=3.0,username=${SMB_USER},password=${SMB_PASSWORD},uid=1000,gid=1000"
  

  注意：所有可能调度该服务的Swarm节点都必须配置这个环境变量。

2. 主机预挂载CIFS共享+Bind Mount #

先在每个Swarm节点上把CIFS共享挂载到主机目录，再通过bind mount给容器，凭据存在主机的加密文件中：

• 步骤1：创建凭据文件/etc/smbcredentials，权限设为600（仅root可读）：

  echo "username=你的SMB用户名" > /etc/smbcredentials
  echo "password=你的SMB密码" >> /etc/smbcredentials
  chmod 600 /etc/smbcredentials
  

• 步骤2：写入/etc/fstab实现开机自动挂载：

  //storage.lan/media-movies /mnt/media-movies cifs credentials=/etc/smbcredentials,vers=3.0,uid=1000,gid=1000 0 0
  

  执行mount -a立即生效。
• 步骤3：修改Stack YAML的服务挂载配置：

  services:
    你的服务名:
      ...
      volumes:
        - /mnt/media-movies:/容器内目标路径
  

  这种方式稳定性高，适合大多数场景。

3. 第三方CIFS卷插件 #

使用如docker-volume-netshare这类插件，支持从环境变量或外部密钥存储读取凭据，但需要在每个Swarm节点上安装配置插件，步骤相对繁琐，适合有集中密钥管理需求的场景。

三、关于"no route to host"错误与Overlay网络问题 #

1. Overlay网络访问LAN的能力 #

Overlay网络默认可以访问主机所在的LAN，只要Swarm节点本身能连通LAN内的设备。Overlay网络是在节点之间建立的隧道，节点作为网关，容器可以通过节点访问外部网络。

2. 错误的可能原因 #

你当前的错误大概率同时涉及凭据配置无效和网络连通性问题：

• 凭据方面：因为daemon读不到/run/secrets路径，导致CIFS认证失败，可能被存储服务器拒绝连接，表现为路由错误。
• 网络方面：
  • 检查节点能否解析storage.lan：执行ping storage.lan，如果不通，要么是DNS配置问题，要么直接用存储服务器的IP代替域名。
  • 检查端口开放：CIFS需要139、445端口，确保Swarm节点和存储服务器之间的防火墙/安全组没有拦截这两个端口。
  • 检查子网冲突：你用的Overlay子网是172.31.1.0/24，如果主机LAN也用了同一段IP，会导致路由冲突，需要修改Overlay的子网配置。

内容的提问来源于stack exchange，提问作者Mark