有没有用docker运行op旁路由成功的？

641268146

之前一直用的shell插件，最近很不稳定，ROM也满了，所以看了一下docker的op，怎么弄都不行，创建的macvlan也不能和主机互通


有没有哪位大佬搞定了的？出来分享一下经验

zyqes

macvlan和host主机是通不了

silentpoppy

宿主机开启promisc模式，然后给docker 容器直接分配一个宿主机同域ip,最后再做一个net,让宿主机网络也可以访问op 容器
##开启网卡混杂模式

ip link set eth0 promisc on
##网卡永久设置混杂模式
vi /etc/rc.local
ip link set eth0 promisc on
###查看设置结果
ifconfig
promisc




docker network create -d macvlan --subnet=192.168.1.0/24 --gateway=192.168.1.1 -o parent=eth0 macnet

docker run -itd --name=OneCloud --restart=always --network=macnet --privileged=true jyhking/onecloud:1.1 /sbin/init

docker run --restart no --name openwrt -d --network macnet --ip 192.168.3.4 --privileged w8ves/openwrtnecloud /sbin/init


# 以下操作都在宿主机上运行，新增一个叫mynet(不要和容器的macvlan重名)的macvlan接口
ip link add mynet link eth0 type macvlan mode bridge
# 为该接口分配ip，并启用
ip addr add 192.168.1.100 dev mynet
ip link set mynet up
# 修改路由，使宿主机到192.168.1.10的通信全部经由mynet进行
ip route add 192.168.1.10 dev mynet

silentpoppy

silentpoppy 发表于 2023-12-8 14:36
宿主机开启promisc模式，然后给docker 容器直接分配一个宿主机同域ip,最后再做一个net,让宿主机网络也可以 ...

有两条run的，可以忽略一条即可。

silentpoppy

zyqes 发表于 2023-12-8 14:23
macvlan和host主机是通不了

promisc 这个模式就可以，再加一个ip link，已经完美运行半年

641268146

silentpoppy 发表于 2023-12-8 14:36
宿主机开启promisc模式，然后给docker 容器直接分配一个宿主机同域ip,最后再做一个net,让宿主机网络也可以 ...

promisc模式
这个模式是什么？

641268146

silentpoppy 发表于 2023-12-8 14:36
宿主机开启promisc模式，然后给docker 容器直接分配一个宿主机同域ip,最后再做一个net,让宿主机网络也可以 ...

docker run --restart no --name openwrt -d --network macnet --ip 192.168.3.4 --privileged w8ves/openwrt/onecloud /sbin/init
这个命令是这样的吗？你发的被表情代替了

641268146

silentpoppy 发表于 2023-12-8 14:36
宿主机开启promisc模式，然后给docker 容器直接分配一个宿主机同域ip,最后再做一个net,让宿主机网络也可以 ...

另外请问你是用的那个docker op镜像？

641268146

silentpoppy 发表于 2023-12-8 14:36
宿主机开启promisc模式，然后给docker 容器直接分配一个宿主机同域ip,最后再做一个net,让宿主机网络也可以 ...

还是不通呀？大佬加个Q，帮忙弄一下吧 641268146

xux

silentpoppy 发表于 2023-12-8 14:37
有两条run的，可以忽略一条即可。

Error response from daemon: authorization denied by plugin opa-docker-authz: request rejected by administrative policy.  为啥我会报没有权限  是要开启什么吗

hengdm

想用“师夷长技以制夷”A做旁路由，费老大劲天配置了macvlan容器，结果HTTPS死活无法连接，最终还是没法用。

小米固件在br-lan接口上处理 “非本机MAC（macvlan虚拟的子MAC）→WAN的TCP流量”时，有硬件/固件bug。也可能是MTK芯片的多MAC转发硬件bug。具体表现是：
- macvlan容器里，Ping、DNS、HTTP 80正常；TCP 443三次握手成功（nc -vz显示open）；随后立刻被RST。SSL/TLS握手全部失败。
- 容器发出SYN→对端回SYN+ACK→容器ACK →接着的数据包在MTK/NAT层被丢或reset。不是对端reset而是本地路由器这条转发路径直接触发RST。
有兴趣可搜索：macvlan passthrough ARP/NAT bug on MTK BE7000 router

既然已经浪费了我大把青春和很多ChatGPT电费。 就记一下配置macvlan容器的方法吧，无HTTPS需求情况下还是可以用的。
ssh到路由器终端（即宿主机）执行：

1. # 开启网卡promisc混杂模式
   
2. ip link set br-lan promisc on
   
3. 
   
4. # 新增接口macvlan0，分配IP并启用
   
5. ip link add macvlan0 link br-lan type macvlan mode bridge
   
6. ip addr add 192.168.42.2/24 dev macvlan0
   
7. ip link set macvlan0 up
   
8. 
   
9. # 允许 macvlan0 出口流量
   
10. iptables -I INPUT -i macvlan0 -j ACCEPT
    
11. iptables -I FORWARD -i macvlan0 -o pppoe-wan -j ACCEPT
    
12. iptables -I FORWARD -i pppoe-wan -o macvlan0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    
13. 
    
14. # 为docker创建macvlan类型网络
    
15. docker network create -d macvlan --subnet=192.168.42.0/24 --gateway=192.168.42.1 --opt parent=br-lan macvlan
    
16. 
    
17. # 创建运行“师夷长技以制夷”a容器
    
18. docker run -itd \
    
19.   --name “师夷长技以制夷”a \
    
20.   --network macvlan \
    
21.   --ip=192.168.42.64 \
    
22.   -v /mnt/usb-xxxxx/docker/“师夷长技以制夷”a:/etc/“师夷长技以制夷”a \
    
23.   --restart unless-stopped \
    
24.   --cap-add=NET_ADMIN \
    
25.   --entrypoint sh \
    
26.   ghcr.io/“师夷长技以制夷”a/“师夷长技以制夷”a \
    
27.   sh -c "ip route del default 2>/dev/null; ip route add default via 192.168.42.2 dev eth0; sysctl -w net.ipv4.ip_forward=1; /usr/bin/“师夷长技以制夷”a"
    
28. 
    
29. # 加路由，使宿主机到容器的通信全部经由macvlan0
    
30. ip route add 192.168.42.64/32 dev macvlan0

复制代码

这样容器就能跑了。


还需要做持久化，不然路由器重启容器就没网了。小米路由器不支持/etc/rc.local持久化（重启清空），但脚本如下。有兴趣的请参考SSH持久化的方法，懒得搞了。

1. #!/bin/sh
   
2. # Put your custom commands here that should be executed once
   
3. # the system init finished. By default this file does nothing.
   
4. 
   
5. # Enable promiscuous mode on br-lan (required for macvlan to receive frames)
   
6. ip link set br-lan promisc on
   
7. 
   
8. # Create macvlan0 on br-lan (acts as upstream gateway for the container)
   
9. ip link add macvlan0 link br-lan type macvlan mode bridge 2>/dev/null || true
   
10. ip addr add 192.168.42.2/24 dev macvlan0 2>/dev/null || true
    
11. ip link set macvlan0 up
    
12. 
    
13. # Add return route so host knows 192.168.42.64 is reachable via macvlan0
    
14. ip route add 192.168.42.64/32 dev macvlan0 2>/dev/null || true
    
15. 
    
16. # Allow traffic from container to WAN
    
17. iptables -I INPUT -i macvlan0 -j ACCEPT
    
18. iptables -I FORWARD -i macvlan0 -o pppoe-wan -j ACCEPT
    
19. 
    
20. # Allow return traffic from WAN back to container
    
21. iptables -I FORWARD -i pppoe-wan -o macvlan0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    
22. 
    
23. exit 0

复制代码

641268146

hengdm 发表于 2025-11-14 16:19
想用“师夷长技以制夷”A做旁路由，费老大劲天配置了macvlan容器，结果HTTPS死活无法连接，最终还是没法用 ...

我早就放弃了，小米的固件docker太拉垮了，重启系统后，大概率出现docker核心丢失，还是老老实实的跑crash吧