Docker容器中Gin+pgxpool连接CockroachDB超时问题排查

问题背景 #

基于Golang Gin框架开发的CRUD应用，使用pgxpool连接CockroachDB，本地运行时所有REST接口（GET/POST/DELETE等）均可正常操作数据库，但容器化后，代码在建立数据库连接阶段卡顿，最终抛出超时错误：
FATA[0120] failed to connect to host=192.165.xx.xxx user=user_name database=dbname: dial error (timeout: dial tcp 192.165.xx.xxx:5432: i/o timeout)
容器内可ping通数据库IP，但无法建立TCP连接。

相关代码与配置 #

数据库连接中间件代码 #

func Connection(conn_string string) gin.HandlerFunc {
  log.Println("Connection: 0", conn_string)
  config, err := pgxpool.ParseConfig(conn_string)
  log.Println("Connection: 1", config.ConnString())
  if err != nil {
      log.Fatal(err)
  }
  log.Println("Connection: 2")
  pool, err := pgxpool.ConnectConfig(context.Background(), config) // 卡顿位置
  if err != nil {
      log.Fatal(err)
  }
  log.Println("Connection: 3")
  return func(c *gin.Context) {
      c.Set("pool", pool)
      c.Next()
  }
}

Dockerfile配置 #

FROM golang as builder
WORKDIR /catalog
COPY main.go ./
COPY go.mod ./
COPY go.sum ./
RUN go get .
RUN CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o catalog .

# deployment image
FROM scratch
#FROM alpine:3.17.1
# copy ca-certificates from builder
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ca-certificates.crt
WORKDIR /bin/
COPY --from=builder /catalog .
CMD [ "./catalog" ]
#CMD go run /catalog/main.go
EXPOSE 8080

排查与解决方案 #

1. 容器网络模式调整 #

默认bridge网络下，容器可能无法穿透到局域网内的数据库端口，或被防火墙拦截：

• 运行容器时使用主机网络模式，直接复用主机网络栈：

  docker run --network host your-image-name
  

• 或检查数据库服务器的防火墙/安全组，开放Docker网桥子网（默认172.17.0.0/16）的5432端口访问权限。

2. 数据库监听地址修正 #

CockroachDB可能仅绑定了主机本地IP，未监听所有网卡：

• 修改CockroachDB启动参数，让其监听所有地址：

  cockroach start --listen-addr=0.0.0.0:5432 ...
  

• 同时确保数据库用户权限允许容器IP连接，比如创建用户时指定允许的IP范围：

  CREATE USER user_name WITH PASSWORD 'your-password' LOGIN ALLOWIP '容器子网段';
  

3. 替换scratch镜像为Alpine #

scratch镜像过于精简，缺少部分网络依赖库，可能导致TCP连接异常：

• 修改Dockerfile的基础镜像为Alpine，替换FROM scratch为：

  FROM alpine:3.17.1
  COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ca-certificates.crt
  WORKDIR /bin/
  COPY --from=builder /catalog .
  CMD [ "./catalog" ]
  EXPOSE 8080
  

4. 连接字符串参数校验 #

• 确认连接字符串的sslmode配置正确，CockroachDB默认需要SSL，可显式指定：

  postgresql://user_name:password@192.165.xx.xxx:5432/dbname?sslmode=verify-full
  

• 若使用主机名而非IP，检查容器内DNS解析是否正常，或直接改用可访问的IP地址。

5. 容器内TCP连接测试 #

进入容器（Alpine镜像需先安装工具），直接测试TCP连通性，确认是网络问题还是pgxpool配置问题：

docker exec -it your-container-name sh
apk add --no-cache netcat-openbsd
nc -zv 192.165.xx.xxx 5432

内容的提问来源于stack exchange，提问作者Senthil