Docker容器内无法访问Docker驱动部署的Minikube集群问题咨询

使用docker驱动部署Minikube时，Minikube集群本身是以独立容器形态运行在Docker专属隔离网络中，和docker compose启动的业务容器默认不属于同一个Docker网络，网络层面默认没有互通路由。同时Minikube的API Server（6443/8443端口）默认仅对宿主机本地、Minikube自身网络内的节点开放访问权限，未对compose使用的自定义Docker网桥网段放通，因此会出现宿主机可正常访问Minikube、业务容器内无法连通的现象。
除此之外，直接将宿主机上的kubeconfig文件原封不动挂载进业务容器使用时，配置文件内填写的API Server地址多为宿主机本地回环地址或Minikube的宿主机侧专属IP，该地址在业务容器的网络命名空间内无对应路由，即使网络放通也会出现连接失败；同时Minikube自带的API Server证书默认仅签发给Minikube自身的IP、内部域名，直接用其他地址访问会触发TLS证书校验错误。

• 确认网络隔离状态：在宿主机分别执行以下两条命令，对比返回的网络ID，可看到Minikube容器和node.js业务容器分属不同Docker网络，无默认互联规则

  docker inspect minikube -f '{{range $k,$v := .NetworkSettings.Networks}}{{$k}}{{end}}'
  docker inspect <你的node.js容器名> -f '{{range $k,$v := .NetworkSettings.Networks}}{{$k}}{{end}}'
  

• 确认Minikube端口监听范围：执行minikube ip获取Minikube对外暴露的IP，再执行ss -tulnp | grep <上一步获取的Minikube IP>，可看到Minikube的API Server端口仅监听Minikube专属网桥地址，未对compose使用的docker网桥开放。
• 确认kubeconfig配置有效性：进入node.js容器查看挂载进去的kubeconfig文件，检查clusters.cluster.server字段，若地址为127.0.0.1或Minikube的宿主机侧IP，该地址在容器网络内无路由，无法直接访问。

方案1：将业务容器接入Minikube专属网络（测试环境最简便） #

该方案无需额外做端口转发，直接通过Docker内部网络实现连通：

1. 查询Minikube所在的Docker网络名称，默认名称为minikube

docker network ls | grep minikube

2. 修改docker-compose.yml配置，给node.js服务同时挂载compose业务网络（用于和同栈下的数据库、nginx通信）和Minikube外部网络：

services:
  node-app:
    image: 你的node.js业务镜像
    # 保留原有业务配置，比如端口挂载、环境变量、卷挂载等
    networks:
      - default # compose默认创建的业务网络，用于和同栈其他服务通信
      - minikube # 接入Minikube所在网络
  # 数据库、nginx等其他服务配置保持不变即可
networks:
  minikube:
    external: true # 声明该网络为外部已存在网络，无需compose创建

3. 重新部署compose栈后，修改node容器内的kubeconfig，将API Server地址改为https://minikube:8443，由于Minikube API Server证书默认包含minikube这个内部域名，不会触发TLS校验错误。
4. 验证连通性：在node容器内执行curl https://minikube:8443/version -k，若返回Kubernetes版本信息则说明连通正常。

方案2：通过宿主机端口转发访问（无需调整容器网络架构） #

如果不想修改现有容器网络配置，可以通过宿主机做端口转发实现连通：

1. 在宿主机执行端口转发命令，将Minikube API Server端口映射到宿主机所有网卡可访问的端口：

# 清理旧的转发进程
pkill -f "kubectl port-forward"
# 将宿主机16443端口转发到Minikube API Server，监听所有网段
kubectl port-forward --address 0.0.0.0 svc/kubernetes -n kube-system 16443:443 &

2. 修改docker-compose.yml，给node.js服务添加宿主机域名映射，支持容器内通过host.docker.internal访问宿主机：

services:
  node-app:
    # 原有配置保持不变
    extra_hosts:
      - "host.docker.internal:host-gateway"

3. 修改node容器内的kubeconfig，将API Server地址改为https://host.docker.internal:16443。由于该地址不在Minikube API Server的证书签发范围内，测试环境可在K8s客户端配置中跳过TLS校验，生产环境可将Minikube的CA证书挂载进业务容器配置信任。
4. 同样通过curl命令验证连通性即可。

注意：不推荐直接给node.js容器配置network_mode: host，该模式会让容器完全共享宿主机网络命名空间，容易出现端口冲突，同时会扩大容器的权限范围，存在安全风险。

内容的提问来源于stack exchange，提问作者Alvaro98