飞牛Docker容器如何正确配置IPv6网络？

Question

在使用飞牛Docker容器时，如何正确配置IPv6网络以实现容器间及外部网络的IPv6通信？常见问题包括：宿主机已启用IPv6但容器无法获取IPv6地址、Docker默认网络不支持IPv6、自定义网络未正确配置IPv6子网和网关等。即使开启`daemon.json`中的`"ipv6": true`并设置IPv6子网，容器仍可能出现无法访问外网或地址冲突等问题。如何结合飞牛系统的网络管理机制，正确配置Docker daemon与容器网络模式，确保IPv6地址分配、路由和防火墙规则协同工作？

Answer 1

1. IPv6网络基础与飞牛系统环境概述

在深入探讨Docker容器的IPv6配置前，需明确飞牛（FeiNiu）系统作为定制化Linux发行版，在网络栈层面通常基于systemd-networkd或NetworkManager进行管理。其内核默认启用IPv6支持，但Docker服务独立于主机网络管理机制运行，因此需要显式开启并协调两者间的配置。

IPv6相较于IPv4具备更大的地址空间和更优的路由效率，适用于大规模容器编排场景。然而，由于Docker默认仅启用IPv4桥接网络，必须通过修改/etc/docker/daemon.json启用IPv6功能。

• 确认宿主机已获取全局IPv6地址：ip -6 addr show
• 检查内核参数：sysctl net.ipv6.conf.all.forwarding 应为1
• 确保iptables与ip6tables规则允许转发流量

2. Docker Daemon层级的IPv6启用配置

要使Docker支持IPv6，首先需在守护进程级别启用该特性。编辑/etc/docker/daemon.json文件，添加如下配置：

{
  "ipv6": true,
  "fixed-cidr-v6": "2001:db8:1::/64",
  "experimental": true,
  "ip6tables": true
}

其中：

字段	说明
ipv6	启用IPv6支持
fixed-cidr-v6	指定容器使用的IPv6子网
ip6tables	启用ip6tables规则自动管理
experimental	部分IPv6功能依赖实验性特性

配置完成后重启Docker服务：systemctl restart docker，并通过docker info | grep -i ipv6验证是否生效。

3. 自定义Docker网络中的IPv6子网与网关设置

Docker默认bridge网络不支持IPv6，必须创建自定义bridge网络以实现完整控制：

docker network create \
  --driver bridge \
  --subnet=172.28.0.0/16 \
  --ipv6 \
  --subnet=2001:db8:2::/64 \
  --gateway=2001:db8:2::1 \
  fn-bridge-net

上述命令创建了一个同时支持IPv4与IPv6的桥接网络，关键点包括：

1. 使用--ipv6标志启用IPv6
2. 指定唯一的--subnet避免与宿主机或其他网络冲突
3. 设定--gateway作为容器默认路由出口
4. 确保子网前缀长度符合ULA或GUA规范

可通过docker network inspect fn-bridge-net查看分配详情。

4. 容器间及外部IPv6通信的问题排查路径

即使正确配置daemon与网络，仍可能出现“容器无法访问外网”或“地址重复”问题。常见原因及诊断流程如下：

graph TD A[容器无IPv6地址] --> B{检查daemon.json} B -->|ipv6: true?| C[确认fixed-cidr-v6设置] C --> D[重建自定义网络] D --> E[启动容器并inspect] E --> F[测试ping6外部IPv6地址] F --> G{能否通达?} G -->|否| H[检查ip6tables FORWARD链] H --> I[确认RA与SLAAC机制] I --> J[核查飞牛系统防火墙策略]

5. 飞牛系统网络管理机制的协同配置

飞牛系统可能使用firewalld或ufw进行安全策略控制，需确保以下操作完成：

# 若使用firewalld
firewall-cmd --permanent --add-service=dns
firewall-cmd --permanent --add-masquerade
firewall-cmd --reload

# 启用IPv6转发
echo 'net.ipv6.conf.all.forwarding=1' >> /etc/sysctl.conf
sysctl -p

此外，若启用了SELinux或AppArmor，应审查策略是否阻止容器网络命名空间访问。

对于使用systemd-networkd的飞牛版本，建议在/etc/systemd/network/*.network中明确声明IPv6接受RA（Router Advertisement）：

[Network]
IPv6AcceptRA=true

6. 实际部署案例：Nginx容器暴露IPv6服务

创建一个支持IPv6的Nginx容器示例：

docker run -d \
  --name nginx-ipv6 \
  --network fn-bridge-net \
  -p [2001:db8:2::10]:80:80 \
  nginx:latest

进入容器内部验证：

docker exec -it nginx-ipv6 ip -6 addr show
ping6 -c 4 google.com

若ping失败，依次检查：

• DNS解析是否支持AAAA记录
• 默认路由是否指向正确的网关
• 上游路由器是否宣告了可路由前缀