如何通过OpenVPN容器路由Docker容器的互联网流量？

我来帮你搞定这个Docker流量路由的问题，咱们一步步实现 Internet <---> VPN容器 <---> 容器A/B/C 的架构：

1. 创建专用内部网络 #

首先创建一个独立的bridge网络，用来让VPN容器和A/B/C容器互通，避免和默认网络的流量混淆：

docker network create --driver bridge --subnet 192.168.200.0/24 vpn-internal

指定子网能让我们后续给VPN容器分配固定IP，方便其他容器指向它作为网关。

2. 配置并启动VPN容器 #

VPN容器需要具备网络管理权限，同时连接默认网络（用于访问VPN服务器）和我们刚创建的内部网络，还要开启IP转发功能：

启动命令示例（以OpenVPN为例） #

docker run -d \
  --name vpn-gateway \
  --cap-add NET_ADMIN \
  --sysctl net.ipv4.ip_forward=1 \
  --net vpn-internal \
  --ip 192.168.200.10 \ # 固定内部IP，作为A/B/C的网关
  -v /your/local/vpn/config:/etc/openvpn \ # 挂载你的VPN配置文件
  openvpn/openvpn

关键配置说明： #

• --cap-add NET_ADMIN：必须添加，让容器能修改网络规则和创建VPN隧道
• --sysctl net.ipv4.ip_forward=1：开启IP转发，允许容器把内部流量转发到VPN隧道
• 如果你需要VPN容器访问宿主机或默认网络的资源，再把它连接到默认网络：

  docker network connect bridge vpn-gateway
  

补充VPN内部配置 #

在你的VPN配置文件（比如server.conf或客户端配置）里，确保添加路由转发规则，比如OpenVPN要加：

push "redirect-gateway def1 bypass-dhcp"

同时在VPN容器里配置iptables规则，让内部流量能通过VPN接口转发：

docker exec -it vpn-gateway iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

（tun0是VPN隧道的接口名，如果你用WireGuard可能是wg0，可以用ip a在容器里确认）

3. 配置容器A/B/C使用VPN网关 #

启动A/B/C容器时，直接连接到vpn-internal网络，并把默认网关指向VPN容器的固定IP（192.168.200.10）：

启动容器A的示例命令 #

docker run -d \
  --name container-a \
  --net vpn-internal \
  --ip 192.168.200.20 \
  --dns 8.8.8.8 \ # 可选，指定公共DNS避免解析问题
  --add-host host.docker.internal:host-gateway \ # 可选，如需访问宿主机
  your-app-image:tag

如果是已有的容器，可以把它连接到内部网络并调整网关：

docker network connect vpn-internal container-a --ip 192.168.200.20
# 进入容器修改默认网关
docker exec -it container-a ip route del default
docker exec -it container-a ip route add default via 192.168.200.10

4. 验证路由是否生效 #

进入容器A，执行 traceroute 测试流量走向：

docker exec -it container-a traceroute 8.8.8.8

正常情况下，第一跳应该是192.168.200.10（VPN容器），之后的跳数会进入VPN隧道的节点，最终到达互联网。

常见问题排查 #

• VPN容器未成功连接VPN：进入VPN容器用ip a检查是否有tun0/wg0接口，查看VPN日志确认连接状态
• 流量无法转发：确认VPN容器的net.ipv4.ip_forward是否开启（sysctl net.ipv4.ip_forward），iptables规则是否添加正确
• DNS解析失败：给A/B/C容器指定公共DNS（比如8.8.8.8），避免使用默认的Docker DNS导致解析异常

内容的提问来源于stack exchange，提问作者ummecasino