网络 on 个人技术随想

Incus网络配置指北

Wed, 04 Dec 2024 22:00:00 +0800

网络配置大概是容器配置中最无聊的部分了。

Incus与Macvtap

什么是Macvtap？太简单了请自行百度。总之就是快速将虚拟机/容器作为一个独立机器，暴露给主机所在的网络的功能。

需要注意，Macvtap能实现与局域网内其他主机的通信，但唯独不能实现与主机的通信！

如果有和主机通信的需要，建议为虚拟机配置一块额外的网卡，或使用传统的Bridge网络。

# 创建一个配置文件
# macvlan-enp4s0是配置文件名称
# eth0是虚拟机中这个macvtap网卡的名称
# enp4s0是想要连接到的主机网卡名称
incus profile device add macvlan-enp4s0 eth0 nic nictype=macvlan parent=enp4s0

# 以该配置创建一个新容器
incus init images:debian/12 my-debian --profile default --profile macvlan-enp4s0

# 或是为虚拟机设置配置文件
incus profile add my-debian macvtap-enp4s0

Incus端口发布

在Docker中，我们可能已经习惯了采用-p 10086:80这样的命令，将容器的一个端口映射到主机上另一个端口。

这一目标在Incus中，需要借助Proxy这一设备类型实现，不过会稍显复杂。

📝 备注

Network Forward转发与Proxy有什么区别？
参考：Difference between network forward and proxy device

The proxy device is instance specific and can forward connections in either direction, between protocols, and when operating in non Nat mode doesn’t require a network connection between host and instance.

A forward on the other hand is more like a proxy device operating in Nat mode. But its defined at the network level rather than instance level and allows sharing an ip between multiple instances because it can forward different ports to different ips.

首先，如果是绑定到普通用户默认Project的容器实例，我们要先解除该Project禁止设置Proxy设备的限制。

`1`	`sudo incus project edit user-1000`

是的，sudo，除非账户在incus-admin用户组里，否则请用sudo。

在config下添加一行：

1
2
3

config:
  # ......
  restricted.devices.proxy: allow

保存。现在我们就可以向容器示例添加proxy设备了。

假设在容器my-http里，有一个Nginx正在监听80端口，我们现在希望将容器的80端口映射到主机的10086端口，以实现访问主机的10086端口，就能访问到容器的80端口。那么，命令如下：

`1`	`incus config device add my-http port10086to80 proxy connect="tcp:127.0.0.1:80" listen="tcp:0.0.0.0:10086"`

完成以后，可以在主机运行curl http://127.0.0.1:10086命令，查看绑定是否成功。

如果计划使用反向代理将外部的请求转发到容器，同时禁止外部网络直接通过访问端口号访问到容器内服务，那么可以将最后的listen字段中IP，改成127.0.0.1。

简易使用局域网Local域名

Wed, 14 Aug 2024 12:00:00 +0800

习惯了在公网服务器上用多个子域名访问不同应用，在局域网环境中我们也常常希望这么做。

对于自带DNS服务器并维护了.lan域名的路由器来说，一切非常简单，不需要额外配置就能直接使用主机名.lan解析其他主机地址。当然，也仅限于此，增加子域名解析或泛域名解析还需要额外配置。

在局域网里增设一个DNS服务器，直接解析内网主机的地址，或许这是最为强大的方法，但也或许是最麻烦的方法。

Windows的NetBIOS，以及Linux的Avahi，是操作系统附带的主机地址广播方案，在我看来似乎是更加灵活的选择。

且Windows 10自较为近期的版本开始，就自带解析 .local mDNS的组件，Windows和Linux之间的地址广播方案实现了互通。

接下来就以在Linux服务器上配置.local域名作为例子。

基本组件

在Debian系统上直接安装：

`1`	`sudo apt install avahi-daemon avahi-utils`

现在起，<主机名>.local将指向这台主机。

添加额外域名

在一些服务，尤其是HTTP服务中，通过不同域名指向不同服务是非常便利的方法，如blog.<主机名>.local指向博客，nextcloud.<主机名>.local指向Nextcloud实例等等。

甚至，有些HTTP应用必须运行在/下，无法通过绑定子目录方式访问，此时必须为其分配独立的域名/子域名。

Avahi的确可以添加泛域名或子域名记录，但大部分操作系统并不能正确解析mDNS的泛域名或子域名记录，或是依赖客户端系统的复杂配置，并不简单易行。

但是，在局域网环境中，域名空间常常充足，退而求其次，我们完全可以为同一台主机分配多个.local记录，只要不与网内其他主机冲突即可。

avahi-utils软件包提供了avahi-publish工具，该工具可以广播用户指定的mDNS记录到内网。例如：

`1`	`avahi-publish -a -R another.local 192.168.1.123`

这可以将another.local域名指向IP地址192.168.1.123。-R选项代表不要广播反向（IP到主机名）解析记录，由于IP地址到主机名的唯一性，这一选项应当被保留。

也可以将其编写成一个Systemd服务单元，例如，可以将以下内容填入/etc/systemd/system/avahi-alias@.service：

[Unit]
Description=Publish %I as alias for %H.local via mdns
Requires=avahi-daemon.service
After=avahi-daemon.service

[Service]
Type=simple
ExecStart=/bin/bash -c "/usr/bin/avahi-publish -a -R %I $(avahi-resolve -4 -n %H.local > /dev/null && ip route get 1 | awk '{print $7;exit}')"
Restart=always
RestartSec=3

[Install]
WantedBy=multi-user.target

之后执行：

1
2

sudo systemctl daemon-reload
sudo systemctl enable --now avahi-alias@another.local

即可对外发布mDNS记录。

Docker镜像本地拉取与迁移

Sat, 29 Jun 2024 12:00:00 +0800

由于网络连通性原因，DockerHub的访问变得困难。然而在服务器上部署服务时，又经常需要使用Docker。

为了避免在服务器上进行复杂的网络设置，一种相对折中的方法是：在一台网络流畅（下面称为本机）的机器上获取Docker镜像，再将镜像复制到服务器上使用。

工具 - Skopeo

一种传统的方法是，在本机上也安装一个Docker Engine，使用docker pull命令拉取镜像，再使用docker save导出镜像。

这种方法的缺点在于，我们在本机上或许并不需要/不想要/难以安装Docker引擎。

而维新派指出，在Docker引擎官方代码仓库moby/moby/contrib下，有一个download-frozen-image-v2.sh脚本，该脚本提供了对Docker镜像的下载功能。听起来不错？

而当然，也有更便捷的工具：containers/skopeo。这也是本文介绍的主角。

安装Skopeo

安装skopeo相当简单，例如在Debian 11+/Ubuntu 20.10+内，可以直接在apt源中下载安装。Alpine Linux同样可以使用apk直接添加。

尽管skopeo不支持Windows版本，但完全可以创建一个简易的Alpine Linux WSL环境完成以上任务。

使用Skopeo获取镜像

主要使用的是skopeo copy命令，文档参见skopeo/docs/skopeo-copy.1.md。

具体来说，在拷贝时，我们常常希望把镜像打成一个tar包，可以方便地在网络上传输。skopeo可以直接导出tar文件，具体如下：

`1`	`skopeo copy docker://<image>:<tag> docker-archive:/path/to/archive.tar:<image>:<tag>`

例如，如果想要拉取busybox的最新版本镜像busybox:latest，可以执行：

`1`	`skopeo copy docker://busybox:latest docker-archive:myarchive.tar:busybox:latest`

如果镜像是由非Docker官方发布的，镜像名称中会含有斜杠，请放心，此时镜像名称<image>就是包含斜杠的完整字符串。例如，以下命令当然是没问题的。

`1`	`skopeo copy docker://bitnami/postgresql:14 docker-archive:/path/to/archive.tar:bitnami/postgresql:14`

值得注意的是，在上述命令里，附加在打包文件名后的<image>:<tag>，即为之后导入docker时，该镜像所关联到的名称。

例如，如果执行：

`1`	`skopeo copy docker://busybox:latest docker-archive:myarchive.tar:busybox:10086`

导入到docker中的镜像名称也会被显示为busybox:10086：

1
2
3

user@server:~$ docker images                                                                                                                 
REPOSITORY    TAG          IMAGE ID       CREATED         SIZE                                                                         
busybox       10086        1234567890ab   1 months ago   1.23MB

打包后，为了节约传输带宽和时间，可以对打包好的tar文件压缩一下。可以使用zstd（gz等当然也行），大约能缩小2/3的体积。

`1`	`zstd -9 myarchive.tar`

在服务器上导入镜像

使用喜欢的方法将打包文件传输到服务器后，就可以导入Docker引擎：

`1`	`docker load < myarchive.tar.zstd`

这里使用的是重定向输入文件流，当然也可以使用-i参数引导读取指定路径的文件。同时，docker load也可以加载包括gz, xz, bzip2, zstd在内的压缩文件。

与同名同tag现有镜像的冲突

导入时会覆盖掉同名镜像，即原有镜像的名称会被置空，变成孤立的镜像。运行docker images prune可以删除这些孤立镜像。