Docker IPvlan网络配置故障：主机客户端无法访问Docker容器

核心问题分析 #

当前配置下主机客户端无法访问容器的关键原因：

• Docker主机未开启IP转发，跨网段流量无法转发
• 容器缺少到192.168.16.0/24网络的回程路由
• 默认iptables规则可能阻止跨网段通信

分步配置修复 #

1. 启用Docker主机IP转发 #

IP转发是跨网段通信的基础，必须开启：

• 临时生效：

  sysctl -w net.ipv4.ip_forward=1
  

• 永久生效（重启后保留）：
  编辑/etc/sysctl.conf，添加或修改：

  net.ipv4.ip_forward=1
  

  执行生效：

  sysctl -p
  

2. 修正VLAN与IPvlan接口配置 #

确保Docker主机上的VLAN接口和IPvlan接口与docker-compose配置匹配：

1. 创建并启用VLAN 20接口（若未创建）：

   ip link add link enp3s0 name enp3s0.20 type vlan id 20
   ip link set enp3s0.20 up
   

2. 重新创建主机侧IPvlan接口：

   ip link del myipvlan20  # 删除原有接口
   ip link add myipvlan20 link enp3s0.20 type ipvlan mode l3
   ip addr add 192.168.20.1/24 dev myipvlan20
   ip link set myipvlan20 up
   

3. 为容器添加回程路由 #

容器需要明确如何将流量发回192.168.16.0/24网络，修改docker-compose.yml的command字段：

services:
  portainer:
    # ... 其他配置保持不变
    command: ["sh", "-c", "ip route add 192.168.16.0/24 via 192.168.20.1 && sleep infinity"]

重启容器生效：

docker-compose down && docker-compose up -d

4. 调整iptables规则（按需） #

Docker默认iptables规则可能拦截跨网段流量，添加允许双向通信的规则：

# 允许192.168.16.0/24与192.168.20.0/24双向通信
iptables -A FORWARD -s 192.168.16.0/24 -d 192.168.20.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.20.0/24 -d 192.168.16.0/24 -j ACCEPT
# 永久保存规则（Ubuntu环境）
iptables-save > /etc/iptables/rules.v4

验证步骤 #

1. 在主机客户端（192.168.16.50）检查路由：

   ip route show | grep 192.168.20.0
   

   应输出：192.168.20.0/24 via 192.168.16.10 dev <你的网卡名称>
2. 在容器内检查路由：

   docker exec ipvlan20 ip route
   

   应包含：192.168.16.0/24 via 192.168.20.1 dev eth0
3. 测试连通性：
   在主机客户端执行：

   ping 192.168.20.5
   ssh root@192.168.20.5  # 测试SSH访问
   

内容的提问来源于stack exchange，提问作者Max