使用Podman运行OpenVPN容器遇/dev/net/tun权限/不存在问题求助

我之前在Podman无根模式下部署OpenVPN时也碰到过几乎一模一样的问题，结合你的场景，咱们一步步拆解解决：

问题根源分析 #

Podman无根模式的权限机制和rootful模式差异很大，这是导致问题的核心：

• 普通启动容器时，主机的/dev/net/tun会映射到容器内，但容器内的root用户实际是主机普通用户的映射，而主机上/dev/net/tun默认属于netdev组、权限为crw-rw----，所以容器进程没有访问权限。
• 添加--privileged参数后，Podman会为容器创建全新的/dev目录（而非挂载主机的/dev），直接导致/dev/net目录消失，自然找不到tun设备。

解决方案 #

方案1：调整主机用户权限（最推荐） #

先让主机当前用户拥有访问tun设备的权限，这是最根本的解决方式：

1. 将当前用户加入netdev组：

   sudo usermod -aG netdev $USER
   

2. 必须重新登录系统，让组权限生效
3. 用原命令启动容器（去掉--privileged）：

   podman run -v $(pwd):/vpn:Z --cap-add=NET_ADMIN --device=/dev/net/tun -it peque/vpn
   

方案2：修改Dockerfile并适配容器内环境（可换Alpine镜像） #

如果不想调整主机用户组，可以修改Dockerfile，添加启动脚本确保tun设备可用，同时换成更轻量化的Alpine镜像：

Alpine版本Dockerfile

FROM alpine:3.18
ENV LANG C.UTF-8
# 安装所需依赖
RUN apk add --no-cache openssh-client openvpn slirp4netns
# 创建启动脚本，确保tun设备正常可用
RUN echo '#!/bin/sh' > /usr/local/bin/start-vpn \
    && echo 'mkdir -p /dev/net' >> /usr/local/bin/start-vpn \
    && echo '[ -c /dev/net/tun ] || mknod /dev/net/tun c 10 200' >> /usr/local/bin/start-vpn \
    && echo 'chmod 666 /dev/net/tun' >> /usr/local/bin/start-vpn \
    && echo 'exec "$@"' >> /usr/local/bin/start-vpn \
    && chmod +x /usr/local/bin/start-vpn
# 通过启动脚本执行OpenVPN命令
CMD ["/usr/local/bin/start-vpn", "openvpn", "--config", "/vpn/ovpn.config", "--auth-user-pass", "/vpn/ovpn.auth"]

重新构建镜像：

podman build -t peque/vpn .

启动容器（无需--privileged）：

podman run -v $(pwd):/vpn:Z --cap-add=NET_ADMIN --device=/dev/net/tun -it peque/vpn

方案3：排查SELinux影响（如果权限问题仍存在） #

如果上述方案还是报错，可能是SELinux阻止了容器访问设备：

• 可以尝试将挂载目录的标签从-Z（私有标签）改为-z（共享标签）：

  podman run -v $(pwd):/vpn:z --cap-add=NET_ADMIN --device=/dev/net/tun -it peque/vpn
  

• 或者临时允许容器使用设备（全局设置，仅在确认SELinux是问题根源时使用）：

  sudo setsebool -P container_use_devices 1
  

验证步骤 #

启动容器后，可以进入容器检查tun设备状态：

podman exec -it <容器ID> ls -l /dev/net/tun

如果显示权限为crw-rw-rw-或容器内用户有读写权限，就说明配置正常了。

内容的提问来源于stack exchange，提问作者Peque