如何让Docker以服务名而非IP发起请求？Fabric多组织多VM TLS验证问题

我之前在搭建跨VM的Fabric多组织环境时也碰到过一模一样的问题，折腾了好一阵才搞定，给你分享几个关键的解决思路：

1. 确保Overlay网络的DNS解析正常工作 #

Docker Overlay网络依赖Swarm集群的DNS服务来实现服务名解析，跨VM场景下这是基础：

• 确认所有VM节点都已成功加入Swarm集群，执行docker node ls检查节点状态是否为Ready。
• 创建Overlay网络时要添加--attachable参数，让独立容器（非Swarm服务）也能加入网络：

  docker network create --driver overlay --attachable my-fabric-overlay
  

• 进入Peer容器验证DNS配置，执行docker exec <peer-container-name> cat /etc/resolv.conf，确保输出里有nameserver 127.0.0.11（Docker内置DNS服务器）。
• 测试服务名解析：在容器内执行nslookup peer0.org1.example.com，如果能返回对应容器的IP，说明DNS功能正常。

2. 修改Peer配置，强制使用服务名通信 #

Fabric Peer的core.yaml（或启动时的环境变量）里有几个关键参数必须设置为服务名：

• peer.gossip.externalEndpoint：设置为Peer的服务名+端口（比如peer0.org1.example.com:7051），这是Peer对外暴露的 gossip 通信地址，其他节点会通过这个地址发起连接。
• peer.gossip.bootstrap：如果指定了引导节点，同样要用服务名而非IP。
• peer.address：Peer对外提供服务的地址，设为服务名:7051；peer.listenAddress保持0.0.0.0:7051即可（监听所有网卡）。

如果用docker-compose启动Peer，直接在environment里配置这些参数更方便：

services:
  peer0.org1.example.com:
    container_name: peer0.org1.example.com
    image: hyperledger/fabric-peer:latest
    environment:
      - CORE_PEER_ADDRESS=peer0.org1.example.com:7051
      - CORE_PEER_GOSSIP_EXTERNALENDPOINT=peer0.org1.example.com:7051
      - CORE_PEER_GOSSIP_BOOTSTRAP=peer0.org1.example.com:7051
    networks:
      - my-fabric-overlay

3. 确保TLS证书包含服务名的SAN字段 #

这是最容易踩坑的点！TLS验证要求请求地址必须和证书里的**Subject Alternative Names (SAN)**匹配，如果证书里只有IP没有服务名，即使Peer用服务名发起请求也会验证失败：

• 打开crypto-config.yaml，在每个Peer的SANs字段里同时添加服务名和必要的IP：

  PeerOrgs:
    - Name: Org1
      Domain: org1.example.com
      Template:
        Count: 1
        SANs:
          - "peer0.org1.example.com"
          - "localhost"
          - "<你的VM公网/内网IP>"
  

• 如果已经生成了证书但SAN不匹配，必须重新生成证书，替换所有节点的证书文件后重启Peer容器。

4. 排查容器间的网络连通性 #

如果以上配置都正确但还是有问题，可以做进一步排查：

• 在Peer容器内用curl测试服务名的grpcs连接：curl -v grpcs://peer0.org1.example.com:7051，看是否能正常建立TLS连接。
• 检查Swarm集群的网络状态：docker network inspect my-fabric-overlay，确认所有Peer容器都已加入该网络。

总结 #

核心逻辑就是三个点：让Overlay网络的DNS能解析服务名，让Peer配置强制用服务名通信，让TLS证书包含服务名的SAN。把这三点都搞定，Peer之间就能通过服务名发起grpcs请求，顺利通过TLS验证了。

内容的提问来源于stack exchange，提问作者Phani Dadi