如何为嵌套的无根Podman容器配置端口管理与网络命名空间？

原因分析 #

你遇到的问题核心是：默认启动的外层无根Podman容器缺少创建独立网络命名空间的权限，同时非root用户默认无法绑定1024以下的端口，导致内层容器要么共享外层网络命名空间（端口转发失效），要么绑定低端口失败。

解决方案 #

1. 调整外层容器启动参数 #

启动外层容器时，需要添加必要的权限和安全选项，让容器内的podman用户能够创建独立的网络命名空间：

podman run -it --name podman -u podman --rm \
  --cap-add NET_ADMIN --cap-add NET_RAW \
  --security-opt seccomp=unconfined \
  quay.io/containers/podman

参数说明：

• --cap-add NET_ADMIN：允许容器内管理网络配置，包括创建网络命名空间
• --cap-add NET_RAW：允许使用原始套接字，满足网络操作的基础需求
• --security-opt seccomp=unconfined：解除seccomp限制，避免系统调用被阻止导致无法创建网络命名空间

2. 解决内层容器低端口绑定问题 #

如果需要让内层容器绑定80、443这类1024以下的端口，有两种可行方式：

方式一：启动内层容器时临时设置

podman run -p 80:80 -d --sysctl net.ipv4.ip_unprivileged_port_start=0 docker.io/library/nginx

方式二：容器内全局永久配置

在容器内编辑/etc/sysctl.conf，添加以下内容：

net.ipv4.ip_unprivileged_port_start=0

执行命令生效：

sysctl -p

3. 验证内层容器端口转发 #

启动内层MySQL容器后，可在外层容器内查看端口映射状态，确认转发是否正常：

# 启动MySQL容器
podman run -p 8000:3306 -d -e MYSQL_ROOT_PASSWORD=abc docker.io/library/mysql
# 查看端口映射
podman port <mysql容器ID或名称>

正常情况下会显示0.0.0.0:8000 -> 3306/tcp，此时在外层容器内用mysql -h 127.0.0.1 -P 8000 -u root -p即可测试连接。

额外说明 #

如果上述权限配置仍无法满足需求，可临时使用--privileged启动外层容器（不推荐生产环境，权限过大）：

podman run -it --name podman -u podman --rm --privileged quay.io/containers/podman

内容的提问来源于stack exchange，提问作者Mr-Pepe