笔记本kubectl正常，Docker容器内执行超时问题求助

核心问题定位 #

从你提供的信息来看，容器内无法连通K8s主节点IP（SSH超时）但主机可以，说明Docker容器的网络路由或出站规则存在阻塞，与DNS解析无关（已确认解析到正确IP）。

排查与修复步骤 #

1. 切换Docker网络模式为Host #

Mac上Docker默认桥接网络可能存在隔离，导致无法访问内部集群IP。尝试用Host模式启动容器：

docker run --rm -it --entrypoint="" --network host -e AWS_PROFILE -v /Users/myself/.aws:/root/.aws -v /Users/myself/.kube/config:/root/.kube/config -e SSH_AUTH_SOCK="/run/host-services/ssh-auth.sock" -v /run/host-services/ssh-auth.sock:/run/host-services/ssh-auth.sock -e GIT_SSH_COMMAND="ssh -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no" alpine/k8s:1.19.16 /bin/bash

启动后重新测试kubectl get pods -A和SSH主节点IP，验证是否恢复正常。

2. 检查Mac防火墙设置 #

• 打开「系统设置」→「网络」→「防火墙」，确认是否阻止了Docker的出站连接。
• 临时关闭防火墙，测试容器内是否能连通K8s主节点；若恢复正常，需给Docker添加出站允许规则。

3. 手动指定DNS服务器 #

虽然解析IP正确，但可强制容器使用与主机一致的DNS服务器，避免网络路径差异：
启动容器时添加--dns参数（示例用8.8.8.8，替换为主机实际使用的DNS）：

docker run --rm -it --entrypoint="" --dns 8.8.8.8 -e AWS_PROFILE -v /Users/myself/.aws:/root/.aws -v /Users/myself/.kube/config:/root/.kube/config -e SSH_AUTH_SOCK="/run/host-services/ssh-auth.sock" -v /run/host-services/ssh-auth.sock:/run/host-services/ssh-auth.sock -e GIT_SSH_COMMAND="ssh -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no" alpine/k8s:1.19.16 /bin/bash

4. 定位容器内网络阻塞点 #

在容器内执行以下命令，精准排查问题：

• 测试端口连通性：nc -zv <K8s主节点IP> 6443（K8s API默认端口为6443）
• 查看路由表：ip route，对比主机route -n输出，确认容器默认路由是否正确
• 若允许ICMP，测试连通性：ping <K8s主节点IP>

5. 重置Docker网络 #

打开Docker Desktop「Settings」→「Network」：

• 点击「Reset to factory defaults」（注意：会清除现有容器、镜像，提前备份）
• 重置完成后重新启动容器测试

补充说明 #

容器内AWS CLI可正常访问公网，说明公网连通性无问题，故障集中在容器到K8s集群私有IP的内部网络连通，优先排查Docker网络模式与本地防火墙规则。

内容的提问来源于stack exchange，提问作者xdu