[devel] Нет пинга из контейнера openvz

[devel] Нет пинга из контейнера openvz

[Антон Мидюков]

Здравствуйте!

Тестирую стартеркит 
http://nightly.altlinux.org/p8/release/alt-p8-ovz-generic-20180912-x86_64.tar.xz

В качестве хоста использую 
http://nightly.altlinux.org/p7/release/altlinux-p7-server-ovz-20160312-x86_64.iso

Хост запущен в virtualbox, сетевой интерфейс проброшен мостом к wi-fi 
ноутбука, ip-адрес выдаёт wi-fi роутер.

1. Создаю контйнер:

vzctl create 101 --ostemplate altlinux-p8-ovz-generic-20180912-x86_64

2. Добавляю ip-адрес виртуального хоста openvz

vzctl set 101 --ipadd 192.168.1.225 --save

3. Запускаю контейнер

Согласно https://www.altlinux.org/OpenVZ#venet внутри VE создаётся 2 
интерфейса:

# vzctl exec 101 /sbin/ip a
1: lo: <LOOPBACK,UP> mtu 16436 qdisc noqueue
      link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
      inet 127.0.0.1/8 scope host lo
      inet6 ::1/128 scope host
          valid_lft forever preferred_lft forever
3: venet0: <BROADCAST,POINTOPOINT,NOARP,UP> mtu 1500 qdisc noqueue  Unknown
      link/void
      inet 192.168.1.225/32 scope global venet0:1

Это есть. А вот:

Маршрут при этом выглядеть должен так:

# vzctl exec 101 /sbin/ip r
192.0.2.0/24 dev venet0 scope host
default via 192.0.2.1 dev venet0

У меня нет, выглядит вот так:

# vzctl exec 101 /sbin/ip r
default dev venet0 scope link

Из контейнера внешняя сеть не доступна (не пингуется). Что я делаю не так?

-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Нет пинга из контейнера openvz

[Nikolay A. Fetisov]

В Пт, 14/09/2018 в 12:40 +0700, Антон Мидюков пишет:
> 
....
> 2. Добавляю ip-адрес виртуального хоста openvz
> 
> vzctl set 101 --ipadd 192.168.1.225 --save
> 
> ....
> Маршрут .... выглядит вот так:
> 
> # vzctl exec 101 /sbin/ip r
> default dev venet0 scope link

Это нормально, и этого достаточно.

> 
> Из контейнера внешняя сеть не доступна (не пингуется). Что я делаю не
> так?

На HN маршрут 

192.168.1.225 dev venet0  scope link

есть?

У меня _иногда_ при запуске контейнера не добавляется маршрут
на HN к контейнеру. Лечится или перезапуском контейнера, или
добавлением вручную.


-- 
С уважением,
Николай Фетисов

Re: [devel] Нет пинга из контейнера openvz

[Антон Мидюков]

14.09.2018 14:21, Nikolay A. Fetisov пишет:
> В Пт, 14/09/2018 в 12:40 +0700, Антон Мидюков пишет:
> ....
>> 2. Добавляю ip-адрес виртуального хоста openvz
>>
>> vzctl set 101 --ipadd 192.168.1.225 --save
>>
>> ....
>> Маршрут .... выглядит вот так:
>>
>> # vzctl exec 101 /sbin/ip r
>> default dev venet0 scope link
> Это нормально, и этого достаточно.
>
>> Из контейнера внешняя сеть не доступна (не пингуется). Что я делаю не
>> так?
> На HN маршрут
>
> 192.168.1.225 dev venet0  scope link
>
> есть?
Если имеется в виду пинг из контейнера на 192.168.1.225, то есть.
>
> У меня _иногда_ при запуске контейнера не добавляется маршрут
> на HN к контейнеру. Лечится или перезапуском контейнера, или
> добавлением вручную.
>
>

-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Нет пинга из контейнера openvz

[Nikolay A. Fetisov]

В Пт, 14/09/2018 в 14:41 +0700, Антон Мидюков пишет:
> 14.09.2018 14:21, Nikolay A. Fetisov пишет:
> > ...
> > На HN маршрут
> > 
> > 192.168.1.225 dev venet0  scope link
> > 
> > есть?
> 
> Если имеется в виду пинг из контейнера на 192.168.1.225, то есть.

В контейнере всё нормально - естественно, сам себя он видит.

На _HN_ маршрут для контейнера есть?

-- 
С уважением,
Николай Фетисов

Re: [devel] Нет пинга из контейнера openvz

[Антон Мидюков]

14.09.2018 14:44, Nikolay A. Fetisov пишет:
> В Пт, 14/09/2018 в 14:41 +0700, Антон Мидюков пишет:
>> 14.09.2018 14:21, Nikolay A. Fetisov пишет:
>>> ...
>>> На HN маршрут
>>>
>>> 192.168.1.225 dev venet0  scope link
>>>
>>> есть?
>> Если имеется в виду пинг из контейнера на 192.168.1.225, то есть.
> В контейнере всё нормально - естественно, сам себя он видит.
>
> На _HN_ маршрут для контейнера есть?
>
Как пинговать  _HN_ маршрут? И откуда? Из контейнера делать пинг?

Делаю ping из контейнера, tcpdump на хосте никакой активности не показывает.

-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Нет пинга из контейнера openvz

[Nikolay A. Fetisov]

В Пт, 14/09/2018 в 17:19 +0700, Антон Мидюков пишет:
> 14.09.2018 14:44, Nikolay A. Fetisov пишет:
> > ....
> > На _HN_ маршрут для контейнера есть?
> > 
> 
> Как пинговать  _HN_ маршрут? И откуда? Из контейнера делать пинг?

На HN (хост-системе) в таблице маршрутизации (ip route show) маршрут
для контейнера

192.168.1.225 dev venet0  scope link

есть?

> 
> Делаю ping из контейнера, tcpdump на хосте никакой активности не
> показывает.

С HN (хост-системе) "ping 192.168.1.225" работает?


Если на HN маршрут до VE есть, но ping туда не проходит - смотреть
правила iptables.

-- 
С уважением,
Николай Фетисов

Re: [devel] Нет пинга из контейнера openvz

[Антон Мидюков]

14.09.2018 18:56, Nikolay A. Fetisov пишет:
> В Пт, 14/09/2018 в 17:19 +0700, Антон Мидюков пишет:
>> 14.09.2018 14:44, Nikolay A. Fetisov пишет:
>>> ....
>>> На _HN_ маршрут для контейнера есть?
>>>
>> Как пинговать  _HN_ маршрут? И откуда? Из контейнера делать пинг?
> На HN (хост-системе) в таблице маршрутизации (ip route show) маршрут
> для контейнера
>
> 192.168.1.225 dev venet0  scope link
>
> есть?
Есть.
>
>> Делаю ping из контейнера, tcpdump на хосте никакой активности не
>> показывает.
> С HN (хост-системе) "ping 192.168.1.225" работает?
Работает. Что дальше проверять?
>
>
> Если на HN маршрут до VE есть, но ping туда не проходит - смотреть
> правила iptables.
>

-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Нет пинга из контейнера openvz

[Nikolay A. Fetisov]

В Пт, 14/09/2018 в 19:01 +0700, Антон Мидюков пишет:
> 14.09.2018 18:56, Nikolay A. Fetisov пишет:
> > ...
> > С HN (хост-системе) "ping 192.168.1.225" работает?
> 
> Работает. Что дальше проверять?

Т.е. - из хост-системы VE доступна, из VE хост-система не доступна?
(Именно сама хост-система, не что-либо во внешней сети.)

Если так - смотреть в сторону iptables.



Если с HN VE доступен, и наоборот, и вопрос именно доступностью 
узлов внешней сети - то далее зависит от конфигурации сети.

Как минимум имеет смысл начать с состояния
sysctl net.ipv4.ip_forward
Если выключено - включить.

-- 
С уважением,
Николай Фетисов

Re: [devel] Нет пинга из контейнера openvz

[Антон Мидюков]

14.09.2018 19:19, Nikolay A. Fetisov пишет:
> В Пт, 14/09/2018 в 19:01 +0700, Антон Мидюков пишет:
>> 14.09.2018 18:56, Nikolay A. Fetisov пишет:
>>> ...
>>> С HN (хост-системе) "ping 192.168.1.225" работает?
>> Работает. Что дальше проверять?
> Т.е. - из хост-системы VE доступна, из VE хост-система не доступна?
> (Именно сама хост-система, не что-либо во внешней сети.)
Из хост-системы VE доступна (маршрут есть и "ping 192.168.1.225" 
работает). А как мне проверить доступность из контейнера именно самой 
хост-системы? Вот здесь 
https://www.ibm.com/developerworks/ru/library/l-openvz_2/ прочитал, что 
хост-система из VE доступна по адресу 192.0.2.1, пинг на этот адрес из 
контейнера не проходит, tcpdump никакой сетевой активности не видит при 
этом.
> Если так - смотреть в сторону iptables.
>
>
>
> Если с HN VE доступен, и наоборот, и вопрос именно доступностью
> узлов внешней сети - то далее зависит от конфигурации сети.
>
> Как минимум имеет смысл начать с состояния
> sysctl net.ipv4.ip_forward
> Если выключено - включить.
>
На хосте sysctl net.ipv4.ip_forward включен. Маршрутизация между venet и 
eth0 настроена.

-- 
С уважением, Антон Мидюков<antohami@altlinux.org>

Re: [devel] Нет пинга из контейнера openvz

[Nikolay A. Fetisov]

В Пт, 14/09/2018 в 22:04 +0700, Антон Мидюков пишет:
> ....
> 
> Из хост-системы VE доступна (маршрут есть и "ping 192.168.1.225" 
> работает). А как мне проверить доступность из контейнера именно
> самой хост-системы?

Т.е.? ping <ip хост-системы>  изнутри VE.


>  Вот здесь 
> https://www.ibm.com/developerworks/ru/library/l-openvz_2/ прочитал,
> что 
> хост-система из VE доступна по адресу 192.0.2.1, ...

Ну, если на каком-то из интерфейсов назначен этот IP - то да,
тогда на 192.0.2.1 . Хотя, это белый американский IP.


> ....
> На хосте sysctl net.ipv4.ip_forward включен. Маршрутизация между
> venet и  eth0 настроена.

IP VE - из диапазона локальной сети?
net.ipv4.conf.default.proxy_arp включен?


-- 
С уважением,
Николай Фетисов

Re: [devel] Нет пинга из контейнера openvz

[Антон Мидюков]

14.09.2018 22:45, Nikolay A. Fetisov пишет:
> В Пт, 14/09/2018 в 22:04 +0700, Антон Мидюков пишет:
>> ....
>>
>> Из хост-системы VE доступна (маршрут есть и "ping 192.168.1.225"
>> работает). А как мне проверить доступность из контейнера именно
>> самой хост-системы?
> Т.е.? ping <ip хост-системы>  изнутри VE.
<ip хост-системы> 192.168.1.225. Этот же ip назначен VE. Отсюда и была 
проблема. Сам себе граблю создал, не поняв инструкцию. Назначил другой 
свободный ip VE и всё заработало. Спасибо за помощь и простите за тупость.

С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Нет пинга из контейнера openvz

[Alexey V. Vissarionov]

On 2018-09-14 12:40:29 +0700, Антон Мидюков wrote:

 > Тестирую стартеркит
 > http://nightly.altlinux.org/p8/release/alt-p8-ovz-generic-20180912-x86_64.tar.xz

Угу.

 > В качестве хоста использую
 > http://nightly.altlinux.org/p7/release/altlinux-p7-server-ovz-20160312-x86_64.iso
 > Хост запущен в virtualbox, сетевой интерфейс проброшен мостом к
 > wi-fi ноутбука, ip-адрес выдаёт wi-fi роутер.

Пофигу.

 > Согласно https://www.altlinux.org/OpenVZ#venet внутри VE создаётся
 > 2 интерфейса:
 > 3: venet0: <BROADCAST,POINTOPOINT,NOARP,UP> mtu 1500 qdisc noqueue
 > Unknown link/void
 > inet 192.168.1.225/32 scope global venet0:1
 > Это есть.

Что значит "есть"? Откуда взялся venet0:1?

% ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: gre0: <NOARP> mtu 1476 qdisc noop state DOWN
    link/gre 0.0.0.0 brd 0.0.0.0
3: ip6tnl0: <NOARP> mtu 1460 qdisc noop state DOWN
    link/tunnel6 :: brd ::
4: venet0: <BROADCAST,POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1500 qdisc
noqueue state UNKNOWN
    link/void
    inet 10.0.0.100/32 scope global venet0
    inet6 ****:****:****:****:900d:f001:dead:f001/128 scope global
       valid_lft forever preferred_lft forever

 > А вот:
 > Маршрут при этом выглядеть должен так:
 > # vzctl exec 101 /sbin/ip r
 > 192.0.2.0/24 dev venet0 scope host
 > default via 192.0.2.1 dev venet0

Никакого 192.0.2.0/24 там быть не должно.

 > У меня нет, выглядит вот так:
 > # vzctl exec 101 /sbin/ip r
 > default dev venet0 scope link

Все правильно:

% ip ro
default dev venet0 scope link

% ping -c2 altlinux.org
PING altlinux.org (194.107.17.137) 56(84) bytes of data.
64 bytes from jabber.altlinux.org (194.107.17.137): icmp_req=1 ttl=57 time=50.6 ms
64 bytes from jabber.altlinux.org (194.107.17.137): icmp_req=2 ttl=57 time=50.7 ms

--- altlinux.org ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1001ms
rtt min/avg/max/mdev = 50.600/50.670/50.740/0.070 ms

 > Из контейнера внешняя сеть не доступна (не пингуется). Что я
 > делаю не так?

1. Остальные контейнеры работают?
2. Хост тебе доступен? tcpdump -nlvv запустить можешь?


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] Нет пинга из контейнера openvz

[Антон Мидюков]

14.09.2018 14:26, Alexey V. Vissarionov пишет:
> On 2018-09-14 12:40:29 +0700, Антон Мидюков wrote:
>
>   > Тестирую стартеркит
>   > http://nightly.altlinux.org/p8/release/alt-p8-ovz-generic-20180912-x86_64.tar.xz
>
> Угу.
>
>   > В качестве хоста использую
>   > http://nightly.altlinux.org/p7/release/altlinux-p7-server-ovz-20160312-x86_64.iso
>   > Хост запущен в virtualbox, сетевой интерфейс проброшен мостом к
>   > wi-fi ноутбука, ip-адрес выдаёт wi-fi роутер.
>
> Пофигу.
>
>   > Согласно https://www.altlinux.org/OpenVZ#venet внутри VE создаётся
>   > 2 интерфейса:
>   > 3: venet0: <BROADCAST,POINTOPOINT,NOARP,UP> mtu 1500 qdisc noqueue
>   > Unknown link/void
>   > inet 192.168.1.225/32 scope global venet0:1
>   > Это есть.
>
> Что значит "есть"? Откуда взялся venet0:1?
после:
vzctl set 101 --ipadd 192.168.1.225 --save
>
> % ip a
> 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue state UNKNOWN
>      link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
>      inet 127.0.0.1/8 scope host lo
>      inet6 ::1/128 scope host
>         valid_lft forever preferred_lft forever
> 2: gre0: <NOARP> mtu 1476 qdisc noop state DOWN
>      link/gre 0.0.0.0 brd 0.0.0.0
> 3: ip6tnl0: <NOARP> mtu 1460 qdisc noop state DOWN
>      link/tunnel6 :: brd ::
> 4: venet0: <BROADCAST,POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1500 qdisc
> noqueue state UNKNOWN
>      link/void
>      inet 10.0.0.100/32 scope global venet0
>      inet6 ****:****:****:****:900d:f001:dead:f001/128 scope global
>         valid_lft forever preferred_lft forever
>
>   > А вот:
>   > Маршрут при этом выглядеть должен так:
>   > # vzctl exec 101 /sbin/ip r
>   > 192.0.2.0/24 dev venet0 scope host
>   > default via 192.0.2.1 dev venet0
>
> Никакого 192.0.2.0/24 там быть не должно.
>
>   > У меня нет, выглядит вот так:
>   > # vzctl exec 101 /sbin/ip r
>   > default dev venet0 scope link
>
> Все правильно:
>
> % ip ro
> default dev venet0 scope link
>
> % ping -c2 altlinux.org
> PING altlinux.org (194.107.17.137) 56(84) bytes of data.
> 64 bytes from jabber.altlinux.org (194.107.17.137): icmp_req=1 ttl=57 time=50.6 ms
> 64 bytes from jabber.altlinux.org (194.107.17.137): icmp_req=2 ttl=57 time=50.7 ms
>
> --- altlinux.org ping statistics ---
> 2 packets transmitted, 2 received, 0% packet loss, time 1001ms
> rtt min/avg/max/mdev = 50.600/50.670/50.740/0.070 ms
>
>   > Из контейнера внешняя сеть не доступна (не пингуется). Что я
>   > делаю не так?
>
> 1. Остальные контейнеры работают?
Проверяю только стартеркитовский контейнер.
> 2. Хост тебе доступен?
А как мне пингануть хост из контейнера?
> tcpdump -nlvv запустить можешь?
Внутри контейнера tcpdump нет

-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Нет пинга из контейнера openvz

[Nikolay A. Fetisov]

В Пт, 14/09/2018 в 14:39 +0700, Антон Мидюков пишет:
> 14.09.2018 14:26, Alexey V. Vissarionov пишет:
> > ....
> > tcpdump -nlvv запустить можешь?
> 
> Внутри контейнера tcpdump нет

Внутри ничего интересного и не будет - будут видны пакеты, уходящие
в venet0. Это смотреть надо на HN.

-- 
С уважением,
Николай Фетисов