Linux系统下docker/docker-compose容器内访问minikube API相关问题咨询

问题根因 #

你之前的操作失败主要有两个核心原因：

• kubectl proxy默认仅绑定127.0.0.1本地回环地址，仅允许宿主机本地访问，来自docker容器的外部请求会被直接拒绝
• 若直接访问minikube原生API，需要确认docker容器网络和minikube网络之间路由可达

可行方案1（推荐：通过代理访问，无需处理证书和token） #

1. 调整kubectl proxy的监听规则，在宿主机执行以下命令：

kubectl proxy --port=8080 --address='0.0.0.0' --accept-hosts='^*$'

参数说明：

• --address='0.0.0.0'：监听宿主机所有网卡，允许外部设备/容器访问
• --accept-hosts='^*$'：放行所有来源的访问请求，无需做来源IP限制

2. 直接在docker容器内执行访问即可：

curl http://host.docker.internal:8080/api

你已经配置了host.docker.internal:host-gateway的host映射，无需额外修改docker-compose配置。

可行方案2（直接访问minikube原生API） #

1. 先在宿主机执行minikube ip获取minikube节点的IP地址，示例输出为192.168.49.2
2. 确认docker容器可路由到该IP：进入容器执行ping 192.168.49.2，如果能ping通则跳过下一步
3. 若无法ping通，说明minikube和docker-compose服务不在同一可路由网络：
   若你使用docker驱动启动minikube，可在docker-compose.yml中给对应服务添加配置，加入minikube的同网络：

   services:
     你的服务名:
       # 原有配置不变，新增以下配置
       network_mode: minikube
       extra_hosts:
         - "host.docker.internal:host-gateway"
   

4. 执行你之前的凭证访问脚本即可正常请求：

APISERVER=$(kubectl config view --minify | grep server | cut -f 2- -d ":" | tr -d " ")
SECRET_NAME=$(kubectl get secrets | grep ^default | cut -f1 -d ' ')
TOKEN=$(kubectl describe secret $SECRET_NAME | grep -E '^token' | cut -f2 -d':' | tr -d " ")

curl $APISERVER/api --header "Authorization: Bearer $TOKEN" --insecure

排查项 #

如果上述方案仍失败，可检查宿主机防火墙规则，确认8080端口（代理方案）或minikube API的6443端口允许docker网段访问，Ubuntu下可临时关闭ufw测试：sudo ufw disable

内容的提问来源于stack exchange，提问作者frietkot