同じDockerコンテナに異なるNICを介したネットからのアクセスは可能でしょうか

お世話になっております。

###VPSにIPアドレスを追加
最近、契約しているVPSにIPアドレスを追加したのですが、追加IPのほうにpingが通らなかったりなど非常に難儀しました。今はipコマンドを使ってルーティングテーブルを作成してpingが通るようになり、ネットワークに関する知識も少し深まったと感じています。

###その追加IPをDockerコンテナにバインドしたい
さて、現在Docker上でこちら(https://github.com/sameersbn/docker-gitlab)のコンテナを使用してGitLabを走らせているのですが、SSHサーバがデフォルトの22番ではVPS自体のSSHと競合してしまうため、違うポートで走らせています。
しかし、IPアドレスを追加してそれぞれのIPアドレスへバインドすればポート番号を付与する必要が無くなるため、VPSにIPアドレスを追加した、という顛末です。

###しかし追加IPにバインドしても接続できない
しかし、dockerコマンドの-pオプション、あるいはdocker-compose.ymlのports:セクションで、追加IPアドレスのほうにポートフォワードをしても、そのコンテナに接続することが出来ません。

同じコンテナに複数のIPをポートフォワードしてるのがよくないのかと思い、追加IPのみをポートフォワードしたdockerコンテナを一時的に起動しても、接続できずタイムアウトとなります。

$ sudo docker run -d --name nginx_test -p 【追加IP】:8080:80 nginx:latest

8b8725a36aaa58574e07c98c8689be17aaa517a4290f1a14eaa1c89740e46e76

$ curl --include 【追加IP】:8080

curl: (7) Failed to connect to 【追加IP】 port 8080: 接続がタイムアウトしました

今度は上記に元々割り当てられていたIPアドレスもバインドしてみましたが、元々のIPのほうはアクセス出来、追加IPはアクセスできません。

$ sudo docker run -d --name nginx_test -p 【元々のIP】:8080:80 -p 【追加IP】:8080:80 nginx:latest

d37cfd081b72107d1944d71ab9d8271244011485a31878688f241374e1469c47

$ curl --include 【元々のIP】:8080

HTTP/1.1 200 OK
Server: nginx/1.9.12

...中略...

<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>

...中略...

<p><em>Thank you for using nginx.</em></p>
</body>
</html>

$ curl --include 【追加IP】:8080

curl: (7) Failed to connect to 【追加IP】 port 8080: 接続がタイムアウトしました

しかしDockerを使わず、ホストOSで直接このIPをバインドするプロセスを起動した場合はアクセスすることが出来ます。(例としてNode.jsのhttp-serverパッケージを使用しています)

$ http-server -a 163.44.160.33 -p 8080 . &
[1] 4119
Starting up http-server, serving .
Available on:
  http://163.44.160.33:8080
Hit CTRL-C to stop the server

$ curl --include 163.44.160.33:8080
[Wed May 04 2016 21:25:11 GMT+0900 (JST)] "GET /" "curl/7.35.0"
HTTP/1.1 200 OK
server: ecstatic-1.4.0
Content-Type: text/html
... 以後略 ...

IPアドレス自体を機能させるためにルーティングで難儀したので、もしかするとルーティング関連のDockerの設定をする必要があるのかも、とまでは考えたのですが、ネットで調べてもあまりピンとくる情報を見つけることができません。
docker-compose.ymlのバージョン2の記法でnetworks:セクションなるものがあること、またdocker networkというサブコマンドの存在を知ったのですが、英語の情報が殆どを占めることもあり、お恥ずかしい限りなのですがふわふわとしていてよく理解できていない状況です。

当方ネットワークの知識がまだまだ浅いもので、そもそも異なるゲートウェイを持つNICを介した同じコンテナへのポートフォワードをインターネット上から通す、ということはひょっとして不可能なのではないか、本当は不可能なのにそれに気付かずにずっと悩んでいるだけではないのか、と思い質問をさせて頂いた次第です。

###VPS構成

$cat /etc/issue
Ubuntu 14.04.4 LTS \n \l

$ sudo docker version
Client:
 Version:      1.11.0
 API version:  1.23
 Go version:   go1.5.4
 Git commit:   4dc5990
 Built:        Wed Apr 13 18:34:23 2016
 OS/Arch:      linux/amd64

Server:
 Version:      1.11.0
 API version:  1.23
 Go version:   go1.5.4
 Git commit:   4dc5990
 Built:        Wed Apr 13 18:34:23 2016
 OS/Arch:      linux/amd64

ネットワークは、このVPSに元々割り当てられているIPアドレスと追加IPアドレスそれぞれにNICがあり、ゲートウェイも異なりますが両方共インターネットへ繋がっている、という状況です。

不足している情報があればお申し付けください。ご教授頂ければ幸いです。よろしくお願い致します。

行動規範の内容に同意します

回答1件

ベストアンサー

普通はサーバ内部から、外に出すパケットについては、デフォルトゲートウェイに向かってパケットを投げるようになっています。

文章からのみで、ネットワーク構成などが読めないのでわかりませんが、
「IPアドレスと追加IPアドレスそれぞれにNICがあり、ゲートウェイも異なりますが両方共インターネットへ」
とすると、サーバにゲートウェイが２個設定されている状態になっている？という事でしょうかね？

このような場合、どちらのNICからデータが入ってきたかどうかとは別に、投げ出されるパケットは、'ROUTE'などで明示的に指定しない限りは(または明らかな同一セグメント、または明示的に片側のNICを指してサービスをBINDしない限り)、優先指定された(通常1枚目)ゲートウェイに投げてしまいますので、例えば２枚目のNIC経由で受信したパケットに対する応答が、１枚目のNICから出力される、という動作が起こりえます。

受信側の話も絡みますが、何もNATもマスカレードもない環境であれば、どこからパケットが戻ってきても通信できてしまう場合もありますが、通常はNATやマスカレードの配下となりますので、この場合には送信先と戻りパケットのIPが違ってしまうので、NATもマスカレードも失敗して、ゴミパケットになってしまいます。

送信元のアドレスを元に、'ROUTE'コマンドで、明示的なゲートウェイの指定を行うと解決するのでは？という感じがしていますが・・・。サーバ内で、きちんとルーティングをしないと、まずそうです。

投稿2016/05/04 12:55

ItoTomonori

総合スコア1283

kxphotographer

2016/05/07 10:10

ご回答ありがとうございます。やはりルーティングの問題ですよね… おっしゃる通り、サーバにある2つのNICは、ネットワークが異なればゲートウェイも異なっています。サーバでルーティングテーブルを設定する過程で、ルーティングの設定がなければどのNICから入ってきたパケットもデフォルトゲートウェイから出ようとする、という点を理解しました。その後、Dockerを使用せず、サーバで直接起動したアプリケーションについては正常に追加IPが使用できているので、おそらくDockerコンテナとホストたるサーバの間にある仮想的なルータにも設定が必要なのだと思います。もう少し、Dockerのドキュメントをしっかり読んでみます。ありがとうございました。

行動規範の内容に同意します