使用ctr命令运行containerd容器时能否配置端口转发？

可以实现对应效果，但ctr作为containerd的底层调试工具，没有封装类似docker -p的一键端口转发参数，你可以通过以下两种方案实现需求：

方案一：基于CNI portmap插件实现（推荐固定场景使用） #

1. 先确认你的节点已经安装CNI标准插件，在/opt/cni/bin/目录下存在portmap二进制文件。
2. 在CNI配置目录/etc/cni/net.d/下创建配置文件10-bridge-with-portmap.conflist，内容如下：

{
  "cniVersion": "0.4.0",
  "name": "bridge-portmap",
  "plugins": [
    {
      "type": "bridge",
      "bridge": "cni0",
      "isGateway": true,
      "ipMasq": true,
      "ipam": {
        "type": "host-local",
        "subnet": "10.88.0.0/16",
        "routes": [
          { "dst": "0.0.0.0/0" }
        ]
      }
    },
    {
      "type": "portmap",
      "capabilities": {
        "portMappings": true
      }
    }
  ]
}

3. 运行容器时指定对应网络并配置端口映射规则，命令示例：

ctr run -d \
  --net bridge-portmap \
  --net-opt portMappings='[{"protocol":"tcp","hostPort":5000,"containerPort":5000}]' \
  docker.io/library/你的测试镜像名:镜像标签 \
  自定义容器名

方案二：手动配置iptables规则（适合临时测试使用） #

• 先正常启动容器，查询容器的内网IP：

# 启动容器
ctr run -d docker.io/library/你的测试镜像名:镜像标签 自定义容器名
# 查看容器IP
ctr task exec -it 自定义容器名 ip a

假设查询到的容器IP为10.88.0.3，执行以下iptables规则配置端口转发：

# 转发主机所有网卡5000端口流量到容器5000端口
iptables -t nat -A PREROUTING -p tcp --dport 5000 -j DNAT --to-destination 10.88.0.3:5000
# 允许主机本地访问5000端口转发到容器
iptables -t nat -A OUTPUT -p tcp --dport 5000 -j DNAT --to-destination 10.88.0.3:5000
# 配置SNAT规则保证回包路由正常
iptables -t nat -A POSTROUTING -p tcp --dport 5000 -d 10.88.0.3 -j MASQUERADE

测试完成后可以把上述命令中的-A替换为-D删除对应规则。

注意事项 #

• ctr运行容器时必须指定完整的镜像引用地址，不能像docker一样只写短镜像名。
• 第一种方案配置一次CNI后，后续所有需要端口转发的容器都可以复用该网络，只需要修改--net-opt里的端口参数即可。

内容的提问来源于stack exchange，提问作者Daigo