如何在无root权限Podman中暴露容器端口并获取真实客户端IP

1. 创建自定义Podman桥接网络（无root用户可用） #

无root Podman默认的slirp4netns网络会做SNAT，导致容器内看到的源IP为127.0.0.1。我们需要创建桥接网络避免这个问题，同时给容器分配固定IPv4：

• 执行命令创建自定义网络：

  podman network create --subnet 192.168.1.0/24 --gateway 192.168.1.1 my-container-net
  

• 启动容器时指定该网络与固定IP：

  podman run -d --network my-container-net --ip 192.168.1.12 [你的容器镜像]
  

  此配置下容器将获得固定的192.168.1.12，且桥接网络不会默认做SNAT，可保留真实客户端IP。

2. 配置nftables端口转发（需root权限） #

要让外部流量转发到容器固定IP并保留源IP，添加以下规则（假设主机对外端口为80，容器服务端口也为80）：

• 编辑nftables配置文件（通常为/etc/nftables.conf），添加：

  table ip nat {
      chain prerouting {
          type nat hook prerouting priority dstnat; policy accept;
          # 转发主机80端口到容器192.168.1.12的80端口
          tcp dport 80 dnat to 192.168.1.12:80
      }
      chain postrouting {
          type nat hook postrouting priority srcnat; policy accept;
          # 仅对容器回包做SNAT，避免路由异常
          ip saddr 192.168.1.0/24 oifname != "podman0" snat to [主机公网/局域网IP]
      }
  }
  

• 重启nftables服务生效：

  systemctl restart nftables
  

  核心是不对入站流量做SNAT，仅对容器出站回包做处理，确保容器能获取真实客户端IP。

若使用iptables，对应规则如下：

# 转发主机80端口到容器IP
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.12:80
# 容器回包SNAT
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 ! -o podman0 -j SNAT --to-source [主机IP]
# 允许转发流量
iptables -A FORWARD -d 192.168.1.12/32 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -s 192.168.1.12/32 -j ACCEPT

3. 验证配置 #

• 检查容器内源IP：在容器内运行tcpdump或查看服务日志，确认客户端真实IP是否正常显示。
• 测试fail2ban：模拟错误登录操作，检查fail2ban能否识别真实IP并添加封禁规则。

关键注意事项 #

• 确保主机IP转发已开启：

  echo 1 > /proc/sys/net/ipv4/ip_forward
  # 永久生效：编辑/etc/sysctl.conf添加net.ipv4.ip_forward=1，执行sysctl -p
  

• 不要使用--publish（-p）参数，无root用户的-p参数会通过slirp4netns做NAT，导致源IP丢失。
• 确保主机防火墙（如ufw）允许目标端口的入站流量，同时放行转发规则。

内容的提问来源于stack exchange，提问作者Saqeria