主机开启IKE VPN时Docker容器无法Ping及联网问题求助

我之前处理过一模一样的问题，本质是主机启动IKE VPN后，系统路由表被修改，但Docker默认的桥接网络没法自动适配这些路由，导致容器的流量找不到正确的出口——而--net=host让容器直接复用主机的网络栈，所以就能正常ping通了。下面给你几个不用依赖--net=host的解决办法：

主机启动VPN后，会生成一条指向虚拟网卡（比如tun0或ipsec0）的路由，但这条路由不会自动包含Docker的桥接网段。你可以手动把Docker网段加入到VPN路由里：

• 先通过ip addr命令找到你的VPN虚拟网卡名称（比如tun0）
• 执行路由添加命令：ip route add 172.17.0.0/16 dev tun0

  注意：172.17.0.0/16是Docker默认的桥接网段，如果你的Docker用了自定义网段，要替换成对应的网段

• 如果想让这条路由永久生效，可以把命令加到VPN启动后的触发脚本里，或者在Ubuntu等系统中加到/etc/rc.local（记得给文件加执行权限）

如果不想修改默认桥接网络，你可以创建一个专属的自定义网络，再给它配置VPN路由：

• 创建自定义网络：docker network create --subnet=192.168.100.0/24 custom-vpn-network
• 启动容器时指定这个网络：docker run --net=custom-vpn-network adiazmor/docker-ubuntu-with-ping ping 8.8.8.8
• 给自定义网段添加VPN路由：ip route add 192.168.100.0/24 dev tun0

从你提供的VPN配置来看，里面有client-splitdns-used和client-splitdns-auto这类分割隧道相关的参数。你可以直接在VPN配置里把Docker网段加入到“需要走VPN的流量列表”中：

• 找到配置里类似client-split-include的选项（不同VPN客户端参数名可能略有差异，比如StrongSwan里是leftsubnet）
• 添加Docker的网段（比如172.17.0.0/16）
• 重启VPN后，系统会自动把这个网段的流量路由到VPN通道，容器的流量自然就能正常走VPN了

如果是用Docker Compose，你可以在docker-compose.yml里直接指定自定义网络，示例如下：

version: '3.8'
services:
  ping-service:
    image: adiazmor/docker-ubuntu-with-ping
    command: ping 8.8.8.8
    networks:
      - custom-vpn-network

networks:
  custom-vpn-network:
    ipam:
      config:
        - subnet: 192.168.100.0/24

启动后再按照上面的方法给这个自定义网段添加VPN路由即可。

内容的提问来源于stack exchange，提问作者Dougui