Debian下AppArmor阻断Docker容器网络访问问题咨询

关于卸载AppArmor的合理性判定 #

卸载AppArmor完全不属于合理合规的解决方案。
AppArmor是Linux系统默认启用的强制访问控制(MAC)安全模块，作用是限制进程的权限边界，阻断越权系统调用、容器逃逸、未授权文件访问等恶意行为。直接卸载等于彻底移除这层安全防护，会让运行在容器内的Docker服务、以及Docker承载的业务完全暴露在提权、横向移动的风险下，无论测试环境还是生产环境都不推荐采用这种“拆安全门换连通性”的处理方式。

AppArmor阻断Docker网络的根因，以及Ubuntu环境无该问题的原因 #

该问题本质是发行版默认AppArmor规则对LXD嵌套容器场景的适配差异导致的：

• 无特权LXD容器依赖用户命名空间做权限隔离，容器内的进程即使拿到root权限，在宿主机层面也只是映射为普通用户权限。Debian源里默认带的AppArmor规则是针对物理机、普通虚拟机场景编写的，没有预置嵌套运行Docker的例外规则：当Docker尝试创建docker0网桥、配置veth虚拟网卡、添加iptables NAT规则、切换网络命名空间时，这些操作需要CAP_NET_ADMIN等权限，会被AppArmor判定为越权操作直接拦截，最终表现为Docker容器网络不通、端口映射失效。
• Ubuntu作为LXD和Docker的主要开发维护方，源里分发的LXD、Docker包已经提前做了嵌套场景的AppArmor规则适配，两层安全模块的规则没有冲突，因此默认环境下不会出现网络被拦截的问题。

该场景的正确处理方案 #

按以下步骤操作即可在保留AppArmor安全防护的前提下修复Docker网络问题，不需要卸载任何安全组件：

1. 首先在LXD宿主机上给目标Debian容器开启嵌套容器所需的基础权限，执行以下命令后重启容器生效：

# 将<your-container-name>替换为实际的Debian容器名
lxc config set <your-container-name> security.nesting true
lxc config set <your-container-name> security.syscalls.intercept.mknod true
lxc config set <your-container-name> security.syscalls.intercept.setxattr true
lxc restart <your-container-name>

2. 进入Debian容器内部，调整AppArmor中Docker对应的权限规则：
   • 先安装AppArmor管理工具：apt update && apt install -y apparmor-utils
   • 编辑Docker的AppArmor规则文件/etc/apparmor.d/docker，在规则块内追加以下权限配置，放开Docker操作网络栈所需的合法权限：

   network,
   capability net_admin,
   capability net_raw,
   mount options=(rw, bind) /var/lib/docker/**,
   

   • 重载规则并重启Docker服务：

   systemctl reload apparmor
   systemctl restart docker
   

3. 如果完成上述操作后仍有零散的权限拦截问题，直接执行aa-logprof命令，工具会自动扫描AppArmor的拦截日志，按照提示放行Docker的合法操作即可，不要直接切换到全局允许模式或者卸载组件。

补充说明：卸载AppArmor后网络恢复正常只是表象，本质是移除了所有访问控制规则让Docker的所有操作都不再受限制，这种方式带来的安全风险远大于网络连通的收益。

内容的提问来源于stack exchange，提问作者Krishna Chaitanya