在 docker-compose 容器中找不到 iptables 命令

Question

我們有 docker-compose 文件

version: '3'
services:
    prometheus-server:
        image: prom/prometheus
        ports:
            - 9090:9090
        volumes:
            - ./prometheus/prometheus.yml:/etc/prometheus/prometheus.yml

    grafana-ui:
        privileged: true
        image: grafana/grafana-oss:latest
        ports:
            - 3000:3000
        environment:
            - GF_SECURITY_ADMIN_PASSWORD=secret
        links:
            - prometheus-server:prometheus
        cap_add:
            - NET_RAW
            - NET_ADMIN

但是， /bin/sh: iptables: not found當我們嘗試通過docker exec -it <grafana-ui container id> /bin/sh運行iptables -nvL -t nat時。 我有什么遺漏嗎？ 如何在 docker 容器中運行iptables ？

Per this question 根據 alpinelinux 在 docker 容器中安裝 iptables ，添加了參數--cap-add=NET_ADMIN和--cap-add=NET_RAW ，但是，我也無法運行iptables 。

Answer 1

/bin/sh: iptables: 未找到

這意味着grafana/grafana-oss:latest默認不包括iptables命令。

您可以使用apk add --no-cache iptables ip6tables安裝它，請參閱Running (and debugging) iptables inside a Docker container 。

接下來的快速實驗：

nxa13855@shlava:~$ docker run --entrypoint /bin/bash -idt --cap-add=NET_ADMIN --cap-add=NET_RAW grafana/grafana-oss:latest
21296933a1d59c45c68c8ab1120b4324b717aea8d220ca070c2c8f21c449e6a5
nxa13855@shlava:~$ docker ps
CONTAINER ID   IMAGE                        COMMAND                  CREATED         STATUS         PORTS                    NAMES
21296933a1d5   grafana/grafana-oss:latest   "/bin/bash"              8 seconds ago   Up 7 seconds   3000/tcp                 awesome_villani
nxa13855@shlava:~$ docker exec -uroot -it 21296933a1d5 /bin/bash
bash-5.1# apk add --no-cache iptables ip6tables
fetch https://dl-cdn.alpinelinux.org/alpine/v3.14/main/x86_64/APKINDEX.tar.gz
fetch https://dl-cdn.alpinelinux.org/alpine/v3.14/community/x86_64/APKINDEX.tar.gz
(1/4) Installing libmnl (1.0.4-r1)
(2/4) Installing libnftnl-libs (1.2.0-r0)
(3/4) Installing iptables (1.8.7-r1)
(4/4) Installing ip6tables (1.8.7-r1)
Executing busybox-1.33.1-r6.trigger
Executing glibc-bin-2.30-r0.trigger
/usr/glibc-compat/sbin/ldconfig: /usr/glibc-compat/lib/ld-linux-x86-64.so.2 is not a symbolic link

OK: 29 MiB in 38 packages
bash-5.1# iptables -nvL -t nat
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
bash-5.1#

對你來說，你可能需要寫下你的所有者 dockerfile extends from grafana/grafana-oss:latest ，在該 dokefile 中，添加apk add --no-cache iptables ip6tables以使您的圖像默認具有iptables命令。

如果只是為了調試，您可以像我上面所做的那樣直接 exec 進入該容器以安裝命令，但請記住在exec時添加-uroot作為該映像默認值不使用root 。