为何Jenkins流水线启动的Podman容器需--network=host才能访问？

问题描述 #

通过Jenkins执行以下命令启动Podman容器：

podman run -d -p 8080:8080 --restart=always host/user/project

容器启动后，podman ps输出显示端口已映射为0.0.0.0:8080->8080/tcp，状态正常，但无法通过浏览器访问。

• 使用相同的jenkins用户在命令行执行完全相同的命令，容器可正常访问。
• 添加--network=host参数后，Jenkins启动的容器能被访问，但该方式无法同时运行多个不同端口的容器。

需明确两个问题：为什么Jenkins启动时需要--network=host？如何在不使用该参数的前提下正常访问容器？

原因分析 #

• Jenkins进程的网络环境限制：Jenkins通常以系统服务形式运行，其执行环境可能未加载用户级的网络配置，或被配置了独立的网络命名空间，导致端口映射的流量无法穿透到主机网络。而命令行下的jenkins用户使用的是主机默认网络命名空间，端口映射规则正常生效。
• Rootless Podman的配置加载差异：若采用rootless模式运行Podman，命令行登录时会自动加载用户shell配置（如.bashrc）中的rootless网络初始化脚本，但Jenkins的构建步骤是无交互的shell环境，不会加载这些配置，导致容器网络无法正常对外暴露。
• 防火墙规则的上下文限制：主机防火墙（如firewalld/iptables）可能对Jenkins进程发起的容器网络流量有额外限制，或未允许Podman默认桥接接口（podman0）的入站流量。

解决方法 #

1. 加载用户shell配置后执行Podman命令 #

在Jenkins构建步骤中，先加载jenkins用户的shell配置文件，确保rootless Podman的网络配置生效：

source ~jenkins/.bashrc && podman run -d -p 8080:8080 --restart=always host/user/project

若使用zsh，替换为source ~jenkins/.zshrc。

2. 调整Jenkins服务的网络命名空间配置 #

编辑Jenkins服务文件（通常路径为/etc/systemd/system/jenkins.service）：

• 检查并删除NetworkNamespace=配置项（如果存在）。
• 重启Jenkins服务使配置生效：

sudo systemctl daemon-reload
sudo systemctl restart jenkins

3. 允许容器桥接接口的防火墙流量 #

如果使用firewalld，添加podman0接口到允许的防火墙区域：

sudo firewall-cmd --add-interface=podman0 --zone=public --permanent
sudo firewall-cmd --reload

如果使用iptables，直接添加允许podman0接口入站流量的规则：

sudo iptables -A INPUT -i podman0 -j ACCEPT
sudo iptables-save > /etc/sysconfig/iptables

4. 使用自定义Podman桥接网络 #

创建独立的桥接网络，避免默认网络的配置冲突：

# 创建自定义桥接网络
podman network create my-app-network
# 启动容器时指定该网络
podman run -d --network=my-app-network -p 8080:8080 --restart=always host/user/project

该方式支持多容器同时使用不同端口映射，且网络配置更可控。

内容的提问来源于stack exchange，提问作者Bevor