Docker Custom BR - Kein Ping auf Host / fehlendes WebUI Zeichen

[Smolo]

Hi,

 

zwei kleine Fragen / Probleme:

 

1) Ich habe dem IoBroker Container eine Custom br0 zugewiesen auf die IP .79. Aus diesem Container komme ich allerdings nicht mehr auf das Share des Host auf .78 drauf. > Fehler keine "mount(2) system call failed: Keine Route zum Zielrechner."

 

2) In Unraid zeigt er mir beim Container die Ports nur noch mit "???" an?

 

3) In Unraid auf dem Docker Symbol ist die WebUI Funktion verschwunden. Ich schätze mal das hängt mit 1. und 2. zusammen. Wo versteckt sich da der Fehler? Kann ich dort auch einfach weitere Ports für das Menü auf dem Container hinterlegen?

 

Edited March 30, 2021 by Smolo

[Ford Prefect]

1 hour ago, Smolo said:

Hi,

 

zwei kleine Fragen / Probleme:

 

1) Ich habe dem IoBroker Container eine Custom br0 zugewiesen auf die IP .79. Aus diesem Container komme ich allerdings nicht mehr auf das Share des Host auf .78 drauf. > Fehler keine "mount(2) system call failed: Keine Route zum Zielrechner."

 

...das ist "normal"...ein "Feature" des Docker Daemon, glaube ich...hatte da auch vor vielen Jahren Probleme das zu verstehen.

Ich habe seitdem meine Docker alle in einem anderen VLAN und dann keine Probleme.

Das braucht aber einen VLAN-fähigen Switch und Router.

Edit: Ich muss mich korrigieren, das VLAN allein hilft da nicht...brauchte noch ein externes Interface oder eines mit NAT dazwischen 😅 (habe das Feature aber bisher schon ewig nicht gebraucht).

 

Quote

2) In Unraid zeigt er mir beim Container die Ports nur noch mit "???" an?

 

3) In Unraid auf dem Docker Symbol ist die WebUI Funktion verschwunden. Ich schätze mal das hängt mit 1. und 2. zusammen. Wo versteckt sich da der Fehler? Kann ich dort auch einfach weitere Ports für das Menü auf dem Container hinterlegen?

 

...ist leider aktuell so...liegt wohl am Template/Dockerfile des Docker-Maintainers ...funktioniert aber trotzdem.

Wenn Du auf der custom bridge bist ist alles offen, keine extra Portweiterleitungen nötig. Das Web-UI ist, glaube ich immer auf port 9000 erreichbar. Probier es aus.

@mgutt hatte vor einiger Zeit mal das Template gebaut und den Support-Thread eröffnet.

Ich nutze iobroker nicht, sonderm nur Node-Red, daher kann ich da nicht helfen....ist aber alles mMn eher nur Kosmetik.

Edited March 30, 2021 by Ford Prefect

[Smolo]

On 3/30/2021 at 10:49 AM, Ford Prefect said:

 

...das ist "normal"...ein "Feature" des Docker Daemon, glaube ich...hatte da auch vor vielen Jahren Probleme das zu verstehen.

Ich habe seitdem meine Docker alle in einem anderen VLAN und dann keine Probleme.

Das braucht aber einen VLAN-fähigen Switch und Router.

Edit: Ich muss mich korrigieren, das VLAN allein hilft da nicht...brauchte noch ein externes Interface oder eines mit NAT dazwischen 😅 (habe das Feature aber bisher schon ewig nicht gebraucht).

Wie macht ihr das nur, ich habe hier mehrere Container die dann untereinander eine Verbindung aufbauen wollen und das funktioniert dann natürlich nicht im Ansatz.

Ich habe jetzt herausgefunden wie man dieses "Feature" deaktivieren kann. "Host access to custom networks" ist das Zauberwort.

 

 

Warum ist dieses Feature deaktiviert? Was gibt es denn noch für alternative Lösungen für das Thema?

 

Quote

..ist leider aktuell so...liegt wohl am Template/Dockerfile des Docker-Maintainers ...funktioniert aber trotzdem.

Wenn Du auf der custom bridge bist ist alles offen, keine extra Portweiterleitungen nötig. Das Web-UI ist, glaube ich immer auf port 9000 erreichbar. Probier es aus.

@mgutt hatte vor einiger Zeit mal das Template gebaut und den Support-Thread eröffnet.

Ich nutze iobroker nicht, sonderm nur Node-Red, daher kann ich da nicht helfen....ist aber alles mMn eher nur Kosmetik.

Mit IOBroker selbst kenne ich mich ganz gut aus das wäre nicht das Thema. Was mich bissel verwundert warum dann die die WebUI Klick Möglichkeit verschwindet. @mgutt kannst du das einbauen eventuell sogar 2 Links > VISU + Default Web?

Edited March 31, 2021 by Smolo

[mgutt]

20 minutes ago, Smolo said:

Was mich bissel verwundert warum dann die die WebUI Klick Möglichkeit verschwindet.

Ich glaube das kann man über das Templates nicht beeinflussen, sondern dafür muss man was im Container selbst ändern. Korrekt @ich777?

[mgutt]

30 minutes ago, Smolo said:

Warum ist dieses Feature deaktiviert?

Wenn ich das richtig verstehe, dann ist die Einschränkung von macvlan (br0) wohl verursacht durch Linux selbst:

https://forums.docker.com/t/macvlan-networks-unable-to-connect-to-host-from-container/51435/5

 

Und ich denke die Option das zu umgehen, legt dann eine Route an oder so.

[Ford Prefect]

29 minutes ago, Smolo said:

Wie macht ihr das nur, ich habe hier mehrere Container die dann untereinander eine Verbindung aufbauen wollen und das funktioniert dann natürlich nicht im Ansatz.

Ich habe jetzt herausgefunden wie man dieses "Feature" deaktivieren kann. "Host access to custom networks" ist das Zauberwort.

[...]

Warum ist dieses Feature deaktiviert? Was gibt es denn noch für alternative Lösungen für das Thema?

Doch, natürlich funktioniert das, wenn Du die Docker nicht auf das Host-Network br0 drauflegst, sondern auf eine andere Bridge.

Ich habe "Host access to custom networks" weiterhin auf "disabled". Was hat der unRaid Host denn auch in meinen Dockern zu suchen?

Bei mir habe ich, wie gesagt, VLANs aktiviert und Docker können lustig untereinander und ins I-Net kommunizieren...nur nicht zum unRaid Host selbst.

Das Inter-VLAN-routing macht mein Router.

[ich777]

7 hours ago, mgutt said:

Ich glaube das kann man über das Templates nicht beeinflussen, sondern dafür muss man was im Container selbst ändern. Korrekt @ich777?

Ist im Dockerfile das Port das für das WebGUI verwendet wird mit EXPOSE definiert?

Wenn nicht ist das der Auslöser.

 

8 hours ago, Smolo said:

Host access to custom networks

Warum brauchst du das? Braucht der Container Zugang zum Host? Bzw hast du eineige container mit Bridge und einige im Custom Netzwerk? Container die im gleichen Netz sind können miteinander kommunizieren.

 

7 hours ago, mgutt said:

Und ich denke die Option das zu umgehen, legt dann eine Route an oder so.

Genau, aber das ist eigentlich ein Sicherheitsfeature von Docker damit das Netzwerk vom Host und Docker getrennt wird. Mit dem VLAN "umgeht" Unraid dieses Feature und alles kann mit allem kommunizieren.

[Ford Prefect]

1 hour ago, ich777 said:

Genau, aber das ist eigentlich ein Sicherheitsfeature von Docker damit das Netzwerk vom Host und Docker getrennt wird. Mit dem VLAN "umgeht" Unraid dieses Feature und alles kann mit allem kommunizieren.

.....und da unraid eben kein vollwertiges Interface für die Linux-Firewall hat, sollte man das Feature eben nicht an dieser Stelle, auf dem unraid Host verwenden.

Mit einem VLAN fähigen Router kann man das auch, mit etwas Tüftelei, erzwingen/hinbiegen in der dortigen Firewall.

 

1 hour ago, ich777 said:

Warum brauchst du das? Braucht der Container Zugang zum Host?

Das ist genau der Punkt...."Zugang zum Host" meint einen IP basierten Dienst auf dem unraid Server selbst (Plugin, Web-UI).

 

Alles andere ist in einem der weiteren VLANs. Einen VLAN fähigen Switch gibt es schon für ein paar Kröten mehr. Damit lässt sich zumindest eine Trennung erreichen.

Wenn es um Kopplung bzw. Nicht-Kopplung geht muss der Router allerdings mitspielen...in DE sind alle mit einer Fritz da erstmal raus, weil die keine VLANs kann und die Firewall nicht konfigurierbar ist.

 

 Das unraid Host-System mit eth0/br0 ist daher in meinem Management-LAN...Docker, VMs, aber auch die Kids haben darauf nix verloren. Dienste stelle ich eben genau da nicht bereit und SMB/SAMBA lauscht zwar standardmässig auf allen interfaces, aber das kann man mit den SAMBA Parametern einstellen, zB

SMB Extras section:

bind interfaces only = yes
interfaces = lo br0 br0.10

...für SMB nur auf dem Host und VLAN-10

Edited April 1, 2021 by Ford Prefect