ドッカーコンテナのネットワークインターフェイスはプロミスキャスモードで

Question

は、3つのサービスアーキテクチャと、3つのサービスが接続された仮想ブリッジネットワークを構成します。コンテナの1つが仮想ネットワーク内のすべてのトラフィックを聞くことができるようにしたい（無差別モード）。出来ますか？私はほとんどすべてを試しましたが、何も動作していないようです。私が試した何

：

• を無差別にコンテナeth0インターフェイスを設定するコンテナ
• に完全な権限を与える（ifconfigコマンドはeth0 promisc無差別）
• は、コンテナ
• 内のネットワークマネージャを再起動しましたホストマシンからプロミスキャスモードでコンテナに対してvethを設定する
• パイプラインからのmacvlan設定でモードを "bridge"から "passthru"に変更する両方のifconfigコマンド実際に、ドッカー-COMPOSEファイルがプロミスキャスモードである「考える」ために容器のeth0インターフェイス上記の試みの結果の

多くのネットワークプロパティでゲートウェイとして容器を設定

CRIPT （ホストからの）syslogはそうだと言いますが、コンテナはそれ自身のトラフィックだけを見ています。

私はドッカー1.11を使用していますし、容器内部のベースイメージはUbuntuの14.04である：最新

以下

は、事前に おかげ

ドッキングウィンドウ-compose.yml

私のドッキングウィンドウ・コンファイルをリストされています

version: '2' 

networks: 

    snort_net: 
    driver: bridge 
    ipam: 
     driver: default 
     config: 
     - subnet: 172.19.0.0/24 
      gateway: 172.19.0.3 

services: 

    mysql: 
    build: 
     context: . 
     dockerfile: MySql/MySqlFile 
    environment: 
     - MYSQL_ALLOW_EMPTY_PASSWORD=yes 
    networks: 
     snort_net: 
     ipv4_address: 172.19.0.2 

    snort: 
    build: 
     context: . 
     dockerfile: Snort/SnortFile 
    depends_on: 
     - snorby 
    env_file: 
     - Snort/snort_variables.env 
    networks: 
     snort_net: 
     ipv4_address: 172.19.0.3 
    expose: 
     - "80" 
     - "21" 
    ports: 
     - "10100:80" 
     - "10101:80/udp" 
     - "21:21" 
    cap_add: 
     - NET_ADMIN 
    privileged: true 


    snorby: 
    build: 
     context: . 
     dockerfile: Snorby/SnorbyFile 
    depends_on: 
     - mysql 
    env_file: 
     - Snorby/snorby_variables.env 
    networks: 
     snort_net: 
     ipv4_address: 172.19.0.4 
    ports: 
     - "3000:3000" 

Answer 1

コンテナは仮想スイッチに効果的に接続されています。 （a）コンテナへのユニキャストトラフィック、または（b）ドッカーネットワーク上のブロードキャスト/マルチキャストトラフィック以外のものを見ることは決してありません。ネットワークゲートウェイとして設定した場合は、他のコンテナからネットワーク外の宛先に送信されたトラフィックも表示されます（ただし、同じネットワーク上の他のコンテナ間の通信はまだ表示されません）。

macvlanではなくLinuxブリッジを使用している場合は、tcpdumpをドッカーブリッジに接続して、ホスト上で実行するか、または--net=hostのコンテナ内で実行することで、目的のものを入手できるはずです。