Podman中Gitea设置cap_net_bind_service后仍无法绑定低端口

• 需求：通过Docker部署Gitea，采用极简部署方案不配置反向代理，让镜像内默认非root用户git能够绑定80、443端口
• 自定义Dockerfile内容：

FROM docker.io/gitea/gitea:latest
RUN setcap cap_net_bind_service=+ep /usr/local/bin/gitea
RUN setcap cap_net_bind_service=+ep /app/gitea/gitea

• 已验证可执行文件权限：

bash-5.1# getcap /usr/local/bin/gitea 
/usr/local/bin/gitea cap_net_bind_service=ep
bash-5.1# getcap /app/gitea/gitea 
/app/gitea/gitea cap_net_bind_service=ep

• 容器启动报错日志（关键片段）：

2022/11/05 11:19:39 ...s/graceful/server.go:88:ListenAndServe() [E] [636646cb-49] Unable to GetListener: listen tcp 0.0.0.0:80: bind: permission denied
2022/11/05 11:19:39 cmd/web.go:81:runHTTPRedirector() [F] [636646cb-49] Failed to start port redirection: listen tcp 0.0.0.0:80: bind: permission denied

• 环境：Fedora 36服务器，使用1024以上端口启动Gitea无异常

这是否是SELinux导致的问题？

大概率是SELinux的限制导致的问题。Fedora 36默认开启SELinux强制模式，会拦截容器内非root进程绑定1024以下端口的操作，即使你已经通过setcap给Gitea可执行文件添加了cap_net_bind_service权限，SELinux的规则优先级更高。

验证方式（临时测试） #

执行以下命令临时关闭SELinux：

sudo setenforce 0

之后重启Gitea容器，如果能正常启动并绑定80/443端口，即可确认是SELinux的限制导致。

解决办法（推荐永久调整） #

方法1：启动容器时添加SELinux安全选项 #

启动容器时增加--security-opt label=type:container_runtime_t参数，该标签允许容器内进程绑定低端口：

docker run -d \
  --name gitea \
  --security-opt label=type:container_runtime_t \
  -p 80:80 -p 443:443 \
  # 挂载卷等其他容器参数
  your-custom-gitea-image:latest

方法2：自定义SELinux策略（精细控制） #

如果不想使用全局的container_runtime_t标签，可以创建自定义SELinux模块，仅允许Gitea容器绑定低端口：

1. 创建策略模块文件：

cat > gitea_container.te <<EOF
module gitea_container 1.0;

require {
    type container_t;
    class tcp_socket name_bind;
}

allow container_t self:tcp_socket name_bind port { http https };
EOF

2. 编译并加载模块：

checkmodule -M -m -o gitea_container.mod gitea_container.te
semodule_package -o gitea_container.pp -m gitea_container.mod
sudo semodule -i gitea_container.pp

完成后重启容器即可生效。

内容的提问来源于stack exchange，提问作者Alias42