使用sudo执行Podman推送镜像至本地容器仓库时出现‘no route to host’错误，无需sudo则正常

看起来你遇到了Podman rootful和rootless模式环境隔离导致的问题，我来帮你拆解原因和解决办法～

首先先确认你的操作场景：你用sudo启动了本地registry容器：

$ sudo podman container run -dt -p 5000:5000 --name registry docker.io/library/registry:2

并且已经通过podman ps和logs确认容器正常运行（日志里的HTTP secret警告只是提示，暂时不影响镜像推送）。但当你用sudo podman push时出现no route to host错误，不用sudo却能正常推送，核心原因是Podman的rootful（sudo）和rootless（普通用户）模式是完全独立的环境，包括网络、存储和配置。

下面给你几个可行的解决方案：

方案1：统一操作模式（最省心） #

Podman的两种模式环境完全隔离，最好全程只用一种模式操作：

• 若想继续用rootful模式：
  1. 先停止当前的registry容器，重新用rootful模式确保配置一致：

     $ sudo podman stop registry && sudo podman rm registry
     

  2. 编辑rootful模式的registry配置文件/etc/containers/registries.conf，添加允许本地不安全registry的配置（因为默认Podman拒绝推送http的非官方registry）：

     [[registry]]
     location = "localhost:5000"
     insecure = true
     

  3. 重新启动registry容器，此时用sudo podman push应该就能正常访问了：

     $ sudo podman container run -dt -p 5000:5000 --name registry docker.io/library/registry:2
     

• 若想切换到rootless模式（更推荐普通用户日常操作）：
  1. 先停掉rootful的registry容器：

     $ sudo podman stop registry && sudo podman rm registry
     

  2. 直接用普通用户身份启动registry：

     $ podman container run -dt -p 5000:5000 --name registry docker.io/library/registry:2
     

  3. 确保你的普通用户registry配置~/.config/containers/registries.conf里已经添加了localhost:5000的不安全配置，之后直接用podman push就不会有隔离问题了。

方案2：修复rootful模式下的网络访问问题 #

如果一定要混用模式，你需要排查rootful环境的网络连通性：

1. 先测试rootful环境能不能访问registry：

   $ sudo curl http://localhost:5000/v2/_catalog
   

   • 如果返回{"repositories":[]}，说明网络是通的，那问题出在registry配置，按方案1里的rootful配置步骤修改/etc/containers/registries.conf即可。
   • 如果还是提示无法连接，那大概率是防火墙或SELinux阻止了访问：
     • 检查防火墙规则，添加5000端口的允许规则：

       $ sudo firewall-cmd --add-port=5000/tcp --permanent
       $ sudo firewall-cmd --reload
       

     • 检查SELinux状态，如果是enforcing模式，临时关闭测试：

       $ sudo setenforce 0
       

       如果测试能访问了，就添加持久化的SELinux规则：

       $ sudo semanage port -a -t http_port_t -p tcp 5000
       

另外，关于你日志里的HTTP secret警告，如果你想解决，可以启动容器时指定环境变量：

$ sudo podman container run -dt -p 5000:5000 --name registry -e REGISTRY_HTTP_SECRET=your-custom-secret docker.io/library/registry:2

备注：内容来源于stack exchange，提问作者Couim747