Docker Swarm中使用NFS卷遇权限拒绝问题求助

我懂这种卡在卷创建上的挫败感——Docker Swarm + NFS的组合本来应该很顺畅，但细节没搞好确实容易卡壳。结合你的环境（FreeBSD NFS服务器 + Ubuntu Swarm节点），我来给你梳理下用Docker内置NFS卷的关键步骤和排坑点：

很多时候Docker卷创建失败，根源是底层NFS连通性或配置有问题，先脱离Docker验证：

• 在每台Ubuntu节点上手动挂载NFS共享，测试基础连通性：

  sudo mkdir -p /tmp/test-nfs-mount
  sudo mount -t nfs <FreeBSD服务器IP>:/path/to/your/nfs/share /tmp/test-nfs-mount
  

  挂载成功后，尝试在目录里创建、删除文件，确认读写权限正常。如果这一步失败，先搞定NFS服务器的配置：
  • 检查FreeBSD的/etc/exports文件，确保允许你的Ubuntu节点IP/网段访问，并且加上关键的insecure参数（Docker默认用大于1024的端口，FreeBSD默认拒绝这类请求）：

    /path/to/your/nfs/share 192.168.1.0/24(rw,sync,no_subtree_check,insecure)
    

  • 重启FreeBSD的NFS服务生效：

    sudo service nfsd restart && sudo service mountd restart
    

  • 确保所有Ubuntu节点都安装了NFS客户端：

    sudo apt-get update && sudo apt-get install -y nfs-common
    

确认NFS底层没问题后，就可以用Docker内置的local驱动来创建NFS卷，有两种常用方式：

方式1：提前创建卷，再在服务中引用 #

在Swarm管理节点执行以下命令创建卷：

docker volume create \
  --driver local \
  --opt type=nfs \
  --opt o=addr=<FreeBSD服务器IP>,rw,nfsvers=4 \
  --opt device=:/path/to/your/nfs/share \
  swarm-shared-nfs

参数说明：

• type=nfs：明确指定卷的类型为NFS
• o=addr=...：指定NFS服务器地址，加上rw读写权限，同时明确NFS版本（建议用v4，兼容性更好；如果FreeBSD用的是v3，改成nfsvers=3）
• device=:/path/...：注意前面的冒号，这是Docker识别NFS路径的格式

创建后验证卷状态：

docker volume inspect swarm-shared-nfs

再用临时容器测试挂载：

docker run --rm -v swarm-shared-nfs:/data alpine touch /data/test-from-docker.txt

去FreeBSD的NFS共享目录里检查，能看到这个测试文件就说明卷没问题。

方式2：在Swarm Compose文件中直接定义卷（更推荐） #

如果是部署Swarm服务，直接在docker-compose.yml里定义卷，不用提前手动创建，部署时会自动在节点上配置：

version: '3.8'
services:
  your-service:
    image: nginx  # 替换成你的业务镜像
    volumes:
      - swarm-shared-nfs:/app/data  # 替换成容器内需要挂载的路径
    deploy:
      replicas: 2
      placement:
        constraints: [node.role == worker]

volumes:
  swarm-shared-nfs:
    driver: local
    driver_opts:
      type: "nfs"
      o: "addr=<FreeBSD服务器IP>,rw,nfsvers=4"
      device: ":/path/to/your/nfs/share"

然后部署服务：

docker stack deploy -c docker-compose.yml your-stack-name

如果还是创建失败，重点检查这几个地方：

• NFS版本不匹配：FreeBSD和Ubuntu的NFS版本要一致，一定要在driver_opts的o参数里明确指定nfsvers
• 权限问题：FreeBSD共享目录的权限要允许NFS客户端访问，测试阶段可以临时设置chmod 777 /path/to/your/nfs/share，生产环境再调整为匹配容器用户UID/GID的权限
• Swarm节点的NFS客户端：所有Swarm节点（包括管理节点和工作节点）都必须安装nfs-common，否则节点无法挂载卷
• 防火墙端口：NFSv4主要开放2049端口；NFSv3需要开放111（rpcbind）、2049，还有动态端口，确保FreeBSD防火墙允许这些端口的流量从Ubuntu节点进入

如果还是有问题，把docker volume create的报错信息，或者docker service logs <service-name>的日志贴出来，能更精准定位问题。

内容的提问来源于stack exchange，提问作者huehnerhose