8.6. Диагностика

  7. Внешний клиент          ─┐
  6. Правило DNAT             │  доступ извне
  5. Host → адрес container'а ─┘
  4. Разрешение имени         ─┐
  3. Сосед по сети → сервис    │  доступ внутри сети
  2. Container → сам себя     ─┘
  1. Процесс слушает          ─── основа
  0. Container работает

docker run --rm --network container:app nicolaka/netshoot ss -tlnp
sudo nsenter -t "$(docker inspect -f '{{.State.Pid}}' app)" -n ss -tlnp

DATABASE_URL = "postgresql://user:pass@localhost:5432/db"   # в container'е

  sl  local_address rem_address   st ...
   0: 0100007F:1F90 00000000:0000 0A ...

mkdir -p /tmp/netdiag && cd /tmp/netdiag

cat > diag.py <<'PY'
"""Диагностика сетевой связности средствами стандартной библиотеки.

Работает в любом образе с Python, ничего не требует устанавливать.
"""
from __future__ import annotations

import socket
import sys
import time
from pathlib import Path

STATE_LISTEN = "0A"


def hex_to_ip(h: str) -> str:
    return ".".join(str(int(h[i:i + 2], 16)) for i in (6, 4, 2, 0))


def listening_sockets() -> list[tuple[str, int]]:
    """Слушающие TCP-сокеты из /proc/net/tcp — без ss и netstat."""
    out: list[tuple[str, int]] = []
    for path in ("/proc/net/tcp", "/proc/net/tcp6"):
        p = Path(path)
        if not p.exists():
            continue
        for line in p.read_text().splitlines()[1:]:
            parts = line.split()
            if len(parts) < 4 or parts[3] != STATE_LISTEN:
                continue
            addr_hex, port_hex = parts[1].rsplit(":", 1)
            addr = hex_to_ip(addr_hex) if len(addr_hex) == 8 else f"[{addr_hex}]"
            out.append((addr, int(port_hex, 16)))
    return sorted(set(out))


def own_addresses() -> list[str]:
    s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
    try:
        s.connect(("10.255.255.255", 1))
        return [s.getsockname()[0]]
    except OSError:
        return []
    finally:
        s.close()


def default_gateway() -> str | None:
    p = Path("/proc/net/route")
    if not p.exists():
        return None
    for line in p.read_text().splitlines()[1:]:
        f = line.split()
        if len(f) > 2 and f[1] == "00000000":
            return hex_to_ip(f[2])
    return None


def probe(host: str, port: int, timeout: float = 4.0) -> str:
    start = time.monotonic()
    try:
        addr = socket.gethostbyname(host)
    except socket.gaierror as exc:
        ms = (time.monotonic() - start) * 1000
        return f"gaierror   {ms:7.1f} мс  {exc.strerror}"

    s = socket.socket()
    s.settimeout(timeout)
    try:
        s.connect((addr, port))
        ms = (time.monotonic() - start) * 1000
        return f"ok         {ms:7.1f} мс  {addr}:{port}"
    except ConnectionRefusedError:
        ms = (time.monotonic() - start) * 1000
        return f"refused    {ms:7.1f} мс  {addr}:{port} — хост есть, порт закрыт"
    except (socket.timeout, TimeoutError):
        ms = (time.monotonic() - start) * 1000
        return f"timeout    {ms:7.1f} мс  {addr}:{port} — фильтрация или чужая сеть"
    except OSError as exc:
        ms = (time.monotonic() - start) * 1000
        errno = getattr(exc, "errno", "?")
        return f"errno {errno:<4} {ms:7.1f} мс  {exc.strerror or exc}"
    finally:
        s.close()


def main(argv: list[str]) -> int:
    print("── шаг 1: что слушает этот container ──")
    socks = listening_sockets()
    if not socks:
        print("   ✗ ни одного слушающего сокета")
    for addr, port in socks:
        flag = "⚠ только loopback!" if addr.startswith("127.") else "✓"
        print(f"   {flag} {addr}:{port}")

    print("\n── сеть container'а ──")
    for a in own_addresses():
        print(f"   адрес:  {a}")
    print(f"   шлюз:   {default_gateway() or 'нет маршрута по умолчанию'}")
    resolv = Path("/etc/resolv.conf")
    if resolv.exists():
        for line in resolv.read_text().splitlines():
            if line.startswith("nameserver"):
                print(f"   DNS:    {line.split()[1]}")

    if not argv:
        return 0

    print("\n── шаги 2–4: проверка целей ──")
    for target in argv:
        host, _, port = target.rpartition(":")
        print(f"   {target:<28} {probe(host, int(port))}")
    return 0


if __name__ == "__main__":
    sys.exit(main(sys.argv[1:]))
PY
echo "  скрипт готов"

  скрипт готов

cd /tmp/netdiag
docker network create dnet > /dev/null
docker run -d --network dnet --name db -e POSTGRES_PASSWORD=x postgres:17-alpine > /dev/null
docker run -d --network dnet --name app -v "$PWD/diag.py:/diag.py:ro" \
    python:3.13-slim sleep 600 > /dev/null
sleep 8

echo "═══ приложение обращается к localhost:5432 ═══"
docker exec app python /diag.py localhost:5432 db:5432

═══ приложение обращается к localhost:5432 ═══
── шаг 1: что слушает этот container ──
   ✗ ни одного слушающего сокета

── сеть container'а ──
   адрес:  172.26.0.3
   шлюз:   172.26.0.1
   DNS:    127.0.0.11

── шаги 2–4: проверка целей ──
   localhost:5432               refused        0.4 мс  127.0.0.1:5432 — хост есть, порт закрыт
   db:5432                      ok             1.8 мс  172.26.0.2:5432

cd /tmp/netdiag
cat > srv.py <<'PY'
import os
from http.server import BaseHTTPRequestHandler, HTTPServer


class H(BaseHTTPRequestHandler):
    def do_GET(self):
        self.send_response(200); self.end_headers(); self.wfile.write(b"ok\n")

    def log_message(self, *a):
        pass


bind = os.environ.get("BIND", "127.0.0.1")
print(f"слушаю {bind}:8000", flush=True)
HTTPServer((bind, 8000), H).serve_forever()
PY

docker run -d --network dnet --name bad -p 18400:8000 \
    -v "$PWD/srv.py:/srv.py:ro" -v "$PWD/diag.py:/diag.py:ro" \
    -e BIND=127.0.0.1 python:3.13-slim python /srv.py > /dev/null
sleep 4

echo "═══ шаг 0: container работает ═══"
printf '  статус: %s, код: %s\n' \
    "$(docker inspect bad --format '{{.State.Status}}')" \
    "$(docker inspect bad --format '{{.State.ExitCode}}')"

echo "═══ шаг 1: что слушает ═══"
docker exec bad python /diag.py | head -5

echo "═══ шаг 2: сам себе отвечает ═══"
docker exec bad python /diag.py 127.0.0.1:8000 2>/dev/null | tail -1

echo "═══ шаг 3: сосед по сети ═══"
docker exec app python /diag.py bad:8000 2>/dev/null | tail -1

echo "═══ шаг 5: с host по адресу container'а ═══"
ip_bad="$(docker inspect -f '{{.NetworkSettings.Networks.dnet.IPAddress}}' bad)"
timeout 5 python3 -c "
import socket
s = socket.socket(); s.settimeout(3)
try:
    s.connect(('$ip_bad', 8000)); print('  ok')
except Exception as e:
    print(f'  {type(e).__name__}')
"

echo "═══ шаг 6: правило DNAT есть ═══"
sudo iptables -t nat -S DOCKER 2>/dev/null | grep -c 18400 | xargs printf '  правил: %s\n'
printf '  curl с host: %s\n' "$(curl -s -m 3 -o /dev/null -w '%{http_code}' http://localhost:18400/)"

═══ шаг 0: container работает ═══
  статус: running, код: 0
═══ шаг 1: что слушает ═══
── шаг 1: что слушает этот container ──
   ⚠ только loopback! 127.0.0.1:8000

── сеть container'а ──
   адрес:  172.26.0.4
═══ шаг 2: сам себе отвечает ═══
   127.0.0.1:8000               ok             0.5 мс  127.0.0.1:8000
═══ шаг 3: сосед по сети ═══
   bad:8000                     refused        1.2 мс  172.26.0.4:8000 — хост есть, порт закрыт
═══ шаг 5: с host по адресу container'а ═══
  ConnectionRefusedError
═══ шаг 6: правило DNAT есть ═══
  правил: 1
  curl с host: 000

docker rm -f bad > /dev/null
docker run -d --network dnet --name good -p 18401:8000 \
    -v "$PWD/srv.py:/srv.py:ro" -e BIND=0.0.0.0 python:3.13-slim python /srv.py > /dev/null
sleep 4
printf '═══ после BIND=0.0.0.0 ═══\n'
printf '  из соседа: %s\n' "$(docker exec app python /diag.py good:8000 2>/dev/null | tail -1 | awk '{print $2}')"
printf '  с host:    %s\n' "$(curl -s -m 3 -o /dev/null -w '%{http_code}' http://localhost:18401/)"
docker rm -f good > /dev/null

═══ после BIND=0.0.0.0 ═══
  из соседа: ok
  с host:    200

cd /tmp/netdiag
docker network create othernet > /dev/null
docker run -d --network othernet --name far \
    -v "$PWD/diag.py:/diag.py:ro" python:3.13-slim sleep 600 > /dev/null
sleep 2

echo "═══ обращение к db из другой сети ═══"
docker exec far python /diag.py db:5432 2>/dev/null | tail -1

echo "═══ по IP тоже ═══"
ip_db="$(docker inspect -f '{{.NetworkSettings.Networks.dnet.IPAddress}}' db)"
docker exec far python /diag.py "$ip_db:5432" 2>/dev/null | tail -1

echo "═══ в каких сетях кто ═══"
for c in db far; do
    printf '  %-5s %s\n' "$c" \
        "$(docker inspect "$c" --format '{{range $n, $v := .NetworkSettings.Networks}}{{$n}} {{end}}')"
done

echo "═══ исправление ═══"
docker network connect dnet far
sleep 2
docker exec far python /diag.py db:5432 2>/dev/null | tail -1

═══ обращение к db из другой сети ═══
   db:5432                      gaierror       0.3 мс  Name or service not known
═══ по IP тоже ═══
   172.26.0.2:5432              timeout     4001.2 мс  172.26.0.2:5432 — фильтрация или чужая сеть
═══ в каких сетях кто ═══
  db    dnet 
  far   othernet 
═══ исправление ═══
   db:5432                      ok             1.9 мс  172.26.0.2:5432

cd /tmp/netdiag
docker run -d --network dnet --name noport \
    -v "$PWD/srv.py:/srv.py:ro" -e BIND=0.0.0.0 python:3.13-slim python /srv.py > /dev/null
sleep 4

echo "═══ шаг 3: из сети работает ═══"
docker exec app python /diag.py noport:8000 2>/dev/null | tail -1

echo "═══ шаг 6: правило DNAT ═══"
ip_np="$(docker inspect -f '{{.NetworkSettings.Networks.dnet.IPAddress}}' noport)"
sudo iptables -t nat -S DOCKER 2>/dev/null | grep -c "$ip_np" | xargs printf '  правил для %s: %%s\n' "$ip_np"
printf '  docker port: %s\n' "$(docker port noport 2>/dev/null || echo 'пусто')"
printf '  curl с host: %s\n' "$(curl -s -m 3 -o /dev/null -w '%{http_code}' http://localhost:8000/)"

docker rm -f noport > /dev/null

═══ шаг 3: из сети работает ═══
   noport:8000                  ok             1.4 мс  172.26.0.5:8000
═══ шаг 6: правило DNAT ═══
  правил для 172.26.0.5: 0
  docker port: пусто
  curl с host: 000

cd /tmp/netdiag
cat > compose.yaml <<'EOF'
services:
  db:
    image: postgres:17-alpine
    environment:
      POSTGRES_PASSWORD: secret
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U postgres"]
      interval: 2s
      timeout: 3s
      retries: 15

  # ПЛОХО: ждёт только запуска container'а
  early:
    image: python:3.13-slim
    depends_on:
      - db
    command: ["python", "-c", "import socket,sys;s=socket.socket();s.settimeout(3);
              sys.exit(0) if not s.connect_ex(('db',5432)) else print('РАНО: соединения нет')"]

  # ХОРОШО: ждёт готовности сервиса
  ready:
    image: python:3.13-slim
    depends_on:
      db:
        condition: service_healthy
    command: ["python", "-c", "import socket,sys;s=socket.socket();s.settimeout(3);
              print('готово') if not s.connect_ex(('db',5432)) else sys.exit(1)"]
EOF

docker compose up --abort-on-container-exit --exit-code-from ready > /tmp/netdiag/out.txt 2>&1
echo "═══ результат ═══"
grep -E 'РАНО|готово|exited' /tmp/netdiag/out.txt | head -6 | sed 's/^/  /'
docker compose down -v > /dev/null 2>&1

═══ результат ═══
  early-1  | РАНО: соединения нет
  early-1 exited with code 0
  ready-1  | готово
  ready-1 exited with code 0

cd /tmp/netdiag
docker run -d --network dnet --name observed \
    -v "$PWD/srv.py:/srv.py:ro" -e BIND=0.0.0.0 python:3.13-slim python /srv.py > /dev/null
sleep 3

echo "═══ в образе нет сетевых утилит ═══"
docker exec observed sh -c 'command -v ss ip ping curl tcpdump 2>/dev/null || echo "  ничего нет"'

echo "═══ подключаем инструменты в его namespace ═══"
docker run --rm --network container:observed alpine:3.21 sh -c '
    apk add --no-cache iproute2 curl > /dev/null 2>&1
    echo "  ss -tln:"
    ss -tln | tail -n +2 | sed "s/^/    /"
    echo "  ip route:"
    ip route | sed "s/^/    /"
    echo "  curl к сервису через localhost общего namespace:"
    curl -s -o /dev/null -w "    HTTP %{http_code}\n" http://127.0.0.1:8000/
'

echo "═══ то же через nsenter с host ═══"
pid="$(docker inspect -f '{{.State.Pid}}' observed)"
sudo nsenter -t "$pid" -n ss -tlnp 2>/dev/null | sed 's/^/  /'

docker rm -f observed > /dev/null

═══ в образе нет сетевых утилит ═══
  ничего нет
═══ подключаем инструменты в его namespace ═══
  ss -tln:
    LISTEN  0  5  0.0.0.0:8000  0.0.0.0:*
  ip route:
    default via 172.26.0.1 dev eth0
    172.26.0.0/16 dev eth0 scope link src 172.26.0.6
  curl к сервису через localhost общего namespace:
    HTTP 200
═══ то же через nsenter с host ═══
  LISTEN 0  5  0.0.0.0:8000  0.0.0.0:*  users:(("python",pid=54120,fd=3))

docker rm -f app db far > /dev/null 2>&1
docker network rm dnet othernet > /dev/null 2>&1
cd /tmp && rm -rf /tmp/netdiag

docker run -d --name diagcheck -p 18600:8000 python:3.13-slim \
    python -m http.server 8000 --bind 127.0.0.1 > /dev/null
sleep 3
docker exec diagcheck python -c "
from pathlib import Path
for line in Path('/proc/net/tcp').read_text().splitlines()[1:]:
    f = line.split()
    if f[3] == '0A':
        a, p = f[1].rsplit(':', 1)
        ip = '.'.join(str(int(a[i:i+2], 16)) for i in (6, 4, 2, 0))
        print(f'{ip}:{int(p, 16)}')
"
docker rm -f diagcheck > /dev/null