如何配置Docker容器实现VPN访问？含UDP服务连通问题

首先，咱们先搞定Apache服务通过OpenVPN路由流量，同时让VPN客户端能访问它的需求，然后再解决UDP服务的问题。

一、配置Apache通过OpenVPN访问，且支持VPN客户端访问 #

要实现这个目标，核心是让Apache的流量走OpenVPN的网络栈，同时让VPN客户端能路由到Apache服务。这里推荐两种方法，第一种更直接简单：

方法1：共享OpenVPN的网络栈（最便捷） #

修改你的docker-compose.yml，让Apache容器共享OpenVPN的网络栈，这样所有Apache的流量都会自动走VPN，同时把Apache的端口映射到OpenVPN容器上：

version: '2'
networks:
  vpn-net:
    driver: bridge
services:
  apache:
    image: 'bitnami/apache:latest'
    volumes:
      - ./mysite:/app
    # 让Apache复用OpenVPN的网络栈，流量全走VPN
    network_mode: service:openvpn
    depends_on:
      - openvpn
  openvpn:
    cap_add:
      - NET_ADMIN
    image: kylemanna/openvpn
    container_name: openvpn
    ports:
      - "1194:1194/udp"
      # 把Apache的端口映射到主机，共享网络栈后OpenVPN容器会监听这些端口
      - '1889:8080'
      - '443:8443'
    restart: always
    volumes:
      - ./openvpn-data/conf:/etc/openvpn
    networks:
      - vpn-net
    # 开启IP转发，确保流量能正常路由
    sysctls:
      - net.ipv4.ip_forward=1

接下来修改OpenVPN的服务器配置（./openvpn-data/conf/server.conf），添加路由推送，让VPN客户端能识别Apache的服务地址：

# 推送Docker子网路由（先通过`docker network inspect vpn-net`查看vpn-net的实际子网，替换示例中的172.20.0.0/16）
push "route 172.20.0.0 255.255.0.0"
# 如果想用自定义的10.0.0.3访问，添加这条静态路由推送
push "route 10.0.0.3 255.255.255.255"

最后在OpenVPN容器里添加NAT规则，把10.0.0.3的请求转发到Apache（共享网络栈后，Apache的服务在OpenVPN容器的localhost上）：

docker exec -it openvpn iptables -t nat -A PREROUTING -s 10.8.0.0/24 -d 10.0.0.3/32 -p tcp --dport 1889 -j DNAT --to-destination 127.0.0.1:8080
docker exec -it openvpn iptables -t nat -A POSTROUTING -s 127.0.0.1/32 -d 10.8.0.0/24 -p tcp --sport 8080 -j SNAT --to-source 10.0.0.3

重启OpenVPN容器后，VPN客户端连接就能通过10.0.0.3:1889访问Apache了。

方法2：独立网络栈+手动路由配置 #

如果你不想共享网络栈，可以让两个容器在同一个自定义网络，然后把Apache的网关指向OpenVPN容器，同时配置OpenVPN的路由和NAT：

1. 先查看OpenVPN容器在vpn-net的IP：docker inspect openvpn | grep "IPAddress"
2. 修改Apache容器的网关为这个IP，在docker-compose里添加extra_hosts或者直接在容器里设置：ip route add default via <openvpn-ip>
3. 后续的路由推送和NAT规则和方法1类似，只是把127.0.0.1换成Apache的容器IP。

二、解决UDP服务通过VPN无法访问的问题 #

你提到UDP端口本地可用但VPN访问无响应，这通常是路由、iptables或者服务监听范围的问题，按以下步骤排查：

1. 确保UDP服务在正确的网络里 #

把UDP服务加入同一个vpn-net网络，并且确保服务监听的是0.0.0.0而不是localhost（否则只能容器内部访问）。比如添加到docker-compose：

services:
  # ... 其他服务 ...
  udp-service:
    image: your-udp-service-image:latest
    ports:
      - "1234:1234/udp" # 本地端口映射
    networks:
      - vpn-net
    # 确保服务监听0.0.0.0，比如自定义服务启动命令里绑定0.0.0.0

2. 添加UDP的iptables转发规则 #

UDP是无连接协议，需要单独配置NAT规则。在OpenVPN容器里执行：

# 转发VPN客户端到UDP服务的流量（替换172.20.0.4为你的UDP服务容器IP，1234为端口）
docker exec -it openvpn iptables -t nat -A PREROUTING -s 10.8.0.0/24 -d 10.0.0.3/32 -p udp --dport 1234 -j DNAT --to-destination 172.20.0.4:1234
# 反向转发，确保响应能回到VPN客户端
docker exec -it openvpn iptables -t nat -A POSTROUTING -s 172.20.0.4/32 -d 10.8.0.0/24 -p udp --sport 1234 -j SNAT --to-source 10.0.0.3

3. 验证UDP连通性 #

注意：telnet不支持UDP，别用它测试！用nc（netcat）工具测试：

• 在VPN客户端执行：nc -u 10.0.0.3 1234，输入内容看是否能得到响应
• 在OpenVPN容器里测试UDP服务是否可达：nc -u <udp-service-ip> 1234

4. 检查内核IP转发和防火墙 #

确保OpenVPN容器的IP转发已开启（我们在docker-compose里加了sysctls，可手动确认：docker exec -it openvpn cat /proc/sys/net/ipv4/ip_forward，返回1就是开启了）。同时检查主机防火墙是否允许UDP端口的入站流量（比如1234/udp）。

5. 确认OpenVPN的UDP配置 #

检查server.conf里的proto udp（默认是udp，但如果被改成tcp了就会有问题），并且确保没有限制UDP流量的规则。

内容的提问来源于stack exchange，提问作者motomyslen