Docker (Stable Nginx + CentOS8 PHP-FPM) で 104: Connection reset by peer の解決法

Question

現象 502 Bad Gateway

Dockerで、２つのコンテナを用意しました

1. nginx:stable
2. CentOS8にRemi repoのPHP-FPM7.3を入れたもの

docker-compose up -d --build でコンテナを起動し
ブラウザからアクセスすると 502 Bad Gateway となります。

docker-compose logs で以下のlogが表示されます。

recv() failed (104: Connection reset by peer) while reading response header from upstream, client: 192.168.96.1, server: , request: "GET /favicon.ico HTTP/1.1", upstream: "fastcgi://192.168.96.2:9000", host: "localhost", referrer: "http://localhost/"

PHP-FPMから返事がうまく返って来ない。
何かお気づきの点がありましたら、ご指摘ください。

環境

HostPC Win10Pro
Docker desktop 2.2.0.5 stable

ファイル
[dir]
|- docker-compose.yml
|- Dockerfile
|- default.conf
`- index.php

---

• docker-compose.yml

version: '3'
services:
  nginx:
    container_name: test-web
    image: nginx:stable
    volumes:
      - ./default.conf:/etc/nginx/conf.d/default.conf:ro
      - ./:/var/www/html
    ports:
      - "80:80"
    environment:
      TZ: JST-9
    depends_on:
      - php-fpm

  php-fpm:
    container_name: test-fpm
    image: test-fpm
    build:
      context: ./
      dockerfile: Dockerfile
    volumes:
      - ./:/var/www/html

• Dockerfile

FROM centos:8

RUN dnf -y install epel-release && \
    dnf -y install https://rpms.remirepo.net/enterprise/remi-release-8.rpm && \
    cp /usr/share/zoneinfo/Asia/Tokyo /etc/localtime && \
    dnf module reset php && \
    dnf -y module install php:remi-7.3 && \
    dnf -y install php-fpm && \
    mkdir /run/php-fpm && \
    touch  /run/php-fpm/php-fpm.pid && \
    sed -i -e "s|user = apache|user = nginx|"                             /etc/php-fpm.d/www.conf && \
    sed -i -e "s|group = apache|group = nginx|"                           /etc/php-fpm.d/www.conf && \
    sed -i -e "s|listen = /run/php-fpm/www.sock|listen = test-fpm:9000|"  /etc/php-fpm.d/www.conf && \
    dnf -y update && \
    dnf clean all

CMD ["/usr/sbin/php-fpm", "-F"]

• default.conf

server {
    listen 80;
    root  /var/www/html/;
    index index.html index.htm index.php;

    access_log /var/log/nginx/access.log;
    error_log  /var/log/nginx/error.log;

    location / {
        try_files $uri $uri/ /index.php$is_args$query_string;
    }
    location ~ .php$ {
        fastcgi_split_path_info ^(.+.php)(/.+)$;
        fastcgi_pass test-fpm:9000;
        fastcgi_index index.php;
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_param PATH_INFO $fastcgi_path_info;
        fastcgi_param PATH_TRANSLATED $document_root$fastcgi_path_info;
    }
}

• index.php

<?php echo phpinfo(); ?>

他に試したこと

標準的な、nginx:stable + php:7-fpm

当然これは問題なく動作しますが、前述の問題点が見つけられなくて詰まっています。

• docker-compose.yml

version: '3'
services:
  nginx:
    container_name: std-web
    image: nginx:stable
    volumes:
      - ./default.conf:/etc/nginx/conf.d/default.conf:ro
      - ./:/var/www/html
    ports:
      - "80:80"
    environment:
      TZ: JST-9
    depends_on:
      - php-fpm

  php-fpm:
    container_name: std-php
    image: php:7-fpm
    volumes:
      - ./:/var/www/html

Answer 1

結論から言いますと、php-fpm が 127.0.0.1 から以外のアクセスを許可していないことが原因です。
rpm では、マイクロサービスのコンテナにインストールされることを想定しておらず、nginx と同じOSにインストールされる前提なので、デフォルトはそうなっているのでしょう。

当方の再現環境では、Dockerfile の sed -i の並びに以下の行を加えて、制限の設定をコメントアウトすることで動きました。

sed -i -e "s|listen.allowed_clients = 127.0.0.1|;listen.allowed_clients = 127.0.0.1|"  /etc/php-fpm.d/www.conf && \

---

以下はぐちですが、今後のデバッグにも役に立つかもしれないので、参考にしてください。
「結論から言いますと」と書いたのは、再現させてから原因を突き止めるまでに苦労したからです。デフォルトのphp-fpm の設定ではワーカで発生したエラーはログファイル（/var/log/php-fpm/error.log）に出ないからです。設定ファイルを修正して

sed -i -e "s|;catch_workers_output = yes|catch_workers_output = yes|"  /etc/php-fpm.d/www.conf && \

とすると、ワーカーのエラーもログファイルにでるようになり、

[09-May-2020 13:08:01] WARNING: [pool www] child 10 said into stderr: "ERROR: Connection disallowed: IP address '172.22.0.3' has been dropped."

というエラーが出て原因がわかった次第です。

Comments

[IkumiMashiba]

回答ありがとうございます。
私のphp-fpm に関する知識が不足していて解決に至らなかったのが原因ですね。

確かに、php:7-fpm から生成されたコンテナ内を確認すると
```
;listen.allowed_clients = 127.0.0.1
```
となっていました。

そういえば悩んでいる時に、適当に、この2つを試したりしたのですが、やはり駄目でした。

```
listen.allowed_clients = 0.0.0.0
listen.allowed_clients = test-web
```

ワーカーログについてもありがとうございます。
早速、これもsed行に追加します!!