如何在Docker Compose中为不同服务绑定指定物理网络接口

前置场景 #

• 主机搭载多块物理网络接口：板载接口包含eno1、eno2、eno3，加装独立以太网卡的接口包含enp7s0f0、enp7s0f1
• 核心需求：完全通过docker-compose.yaml配置，实现不同容器服务绑定指定物理接口，保证对应服务的指定端口入站流量、全量出站流量都通过绑定接口收发，无流量绕行默认eno1接口的问题
• 选型验证：macvlan网络驱动适配该类接口绑定需求，但现有配置无法达成预期效果

原问题配置示例 #

用户初期使用的无法生效的配置如下：

version: '3.7'
services:
    service_1:
        build: .
        networks: 
            - eno2
        ports:
            - 7878:7878
networks:
   eno2:
      driver: macvlan
      driver_opts:
          parent: eno2
      ipam:
          driver: default

按照上述配置启动的多容器服务，所有出站流量默认走主机默认路由对应的eno1接口，完全没有通过绑定的对应物理接口收发，未达到预期效果。

配置失效的核心原因 #

1. macvlan网络的IPAM段没有明确指定与对应物理接口同网段的子网、网关参数，Docker会自动分配与主机默认路由（eno1所在网段）重叠的IP段，导致容器路由表自动匹配eno1的默认路由，出站流量全部回落到eno1接口
2. 错误沿用了bridge网络的ports端口映射配置：macvlan网络下的容器直接接入物理二层网络，具备独立的二层地址，ports规则会强制流量经过主机的bridge NAT网络栈，绕过指定物理接口的流量路径，进一步加剧路由偏移问题

可实现预期效果的完整配置 #

所有配置完全在docker-compose.yaml文件内完成，无需额外执行手动网络配置：

version: '3.7'
services:
  # 绑定eno2接口的服务
  service_1:
    build: .
    networks:
      eno2_macvlan:
        # 配置与eno2同网段的有效静态IP
        ipv4_address: 192.168.2.10
    # 无需配置ports端口映射，直接通过绑定IP访问服务端口即可
  # 绑定eno3接口的服务
  service_2:
    build: .
    networks:
      eno3_macvlan:
        ipv4_address: 192.168.3.10
  # 绑定enp7s0f0接口的服务
  service_3:
    build: .
    networks:
      enp7s0f0_macvlan:
        ipv4_address: 192.168.4.10

networks:
  eno2_macvlan:
    driver: macvlan
    driver_opts:
      # 严格指定对应物理接口为parent
      parent: eno2
    ipam:
      driver: default
      config:
        # 配置与eno2物理接口所在二层网络完全一致的子网、网关
        - subnet: 192.168.2.0/24
          gateway: 192.168.2.1
  eno3_macvlan:
    driver: macvlan
    driver_opts:
      parent: eno3
    ipam:
      driver: default
      config:
        - subnet: 192.168.3.0/24
          gateway: 192.168.3.1
  enp7s0f0_macvlan:
    driver: macvlan
    driver_opts:
      parent: enp7s0f0
    ipam:
      driver: default
      config:
        - subnet: 192.168.4.0/24
          gateway: 192.168.4.1

配置生效的校验要点 #

• 每个macvlan网络配置的subnet、gateway参数，必须和对应parent物理接口实际接入的二层网络完全匹配，不能出现网段重叠
• 启动容器后，可在容器内查看出口IP，确认与对应物理接口的出口IP一致，即代表出站流量已通过绑定接口收发
• 入站流量可直接通过容器绑定的静态IP访问对应服务端口，无需额外配置防火墙规则做端口转发

内容的提问来源于stack exchange，提问作者sempervent