容器内执行ip route add命令报Operation not permitted和File exists错误如何解决

1. 非root用户执行报错 ip: RTNETLINK answers: Operation not permitted #

原因 #

修改系统路由属于内核网络栈的特权操作，默认仅root用户或持有CAP_NET_ADMIN能力的进程有权限执行，普通用户无对应权限，因此操作被拒绝。

解决方法 #

• 方案1：将路由添加逻辑放到容器启动阶段的root初始化脚本中执行，路由配置完成后再切换到普通用户运行业务进程。
• 方案2：容器启动时添加--cap-add NET_ADMIN参数（k8s环境需在securityContext中配置capabilities: add: ["NET_ADMIN"]），同时配置sudo规则允许对应用户免密执行ip route命令，规则示例：p2-user ALL=(ALL) NOPASSWD: /sbin/ip route *，后续普通用户可通过sudo执行路由添加操作。

2. root用户执行报错 ip: RTNETLINK answers: File exists #

原因 #

待添加的9.0.0.0/8网段路由规则已存在于当前路由表中，重复添加同网段、同优先级的路由会触发该报错。

解决方法 #

两种可选处理方式：

• 执行添加前先判断路由是否存在，不存在再执行添加，脚本示例：

if ! ip route show | grep -q "9.0.0.0/8"; then
  /sbin/ip route add 9.0.0.0/8 via 10.196.226.1 dev eth0
fi

• 直接使用replace命令强制覆盖已存在的同网段路由，命令如下：

/sbin/ip route replace 9.0.0.0/8 via 10.196.226.1 dev eth0

内容的提问来源于stack exchange，提问作者gopinath