使用非root用户运行OpenVPN Docker容器时出现TUNSETIFF权限错误

报错根因 #

Cannot ioctl TUNSETIFF tun: Operation not permitted报错有两个核心原因：

• 普通用户openvpn默认没有操作/dev/net/tun虚拟网络设备的权限
• 容器添加的NET_ADMIN能力默认仅root用户可用，普通用户运行的OpenVPN程序无法调用该系统能力

解决步骤 #

1. 修改Dockerfile调整权限配置 #

更新后的完整Dockerfile如下：

FROM  alpine:edge

RUN apk update
RUN mkdir /run/openrc
RUN touch /run/openrc/softlevel

RUN addgroup -S openvpn && adduser -S openvpn -G openvpn

RUN apk add --no-cache --update \
linux-headers

# 新增libcap用于设置二进制权限、gosu用于用户切换
RUN apk add --no-cache bash openssl openrc libcap gosu
RUN apk add openvpn

# 给OpenVPN二进制文件添加NET_ADMIN权限，允许普通用户运行时调用网络管理能力
RUN setcap cap_net_admin,cap_net_bind_service+ep /usr/sbin/openvpn

RUN rc-update add openvpn default

VOLUME ["/etc/openvpn"]

RUN echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.d/ipv4.conf

# 先以root调整tun设备权限，再切换为openvpn用户启动服务
CMD chmod 666 /dev/net/tun && gosu openvpn openvpn --config /etc/openvpn/openvpn.conf

2. 调整容器启动命令 #

移除启动命令中的-u openvpn参数（容器内部会自动切换到普通用户），新增ipv4转发参数，最终启动命令如下：

docker run -v /etc/openvpn:/etc/openvpn -itd \
--cap-drop all  \
--cap-add=NET_ADMIN \
--device /dev/net/tun \
--sysctl net.ipv4.ip_forward=1 \
alpine-openvpn:v1

验证 #

重新构建镜像后启动容器，即可正常以普通用户权限运行OpenVPN服务，同时不会降低容器安全等级。

内容的提问来源于stack exchange，提问作者Ciasto piekarz