Docker: non quedan conxuntos de enderezos predefinidos durante unha sesión de VPN

O fallo é concreto: Docker non atopa unha subrede automática aceptable para unha nova rede de ponte. Non significa que á máquina se lle acabasen os enderezos, nin que a VPN estea rota. Dúas preguntas deciden o diagnóstico: que bloques candidatos pode ver o daemon e cales deles exclúe o seu asignador nesta contorna. Percórreas nesa orde, porque a segunda pregunta non ten sentido ata que se responda a primeira.

Confirma que fallou antes de cambiar nada

Executa os pasos seguintes desde o host que executa o daemon. Unha consola que fala cun contexto remoto está a describir outra máquina, e ese erro por si só pode facer perder unha hora.

Anota tamén a versión de Engine no tícket. Cada heurística do resto deste manual depende da versión, e unha afirmación sen versión é un rumor.

Conta as asignacións que xa tes

Enumera as redes e despois inspecciona as que importan: docker network ls seguido de docker network inspect NETWORK_NAME. Le as súas subredes IPAM e os contedores conectados a cada unha. Varios proxectos de Compose consomen máis bloques do que suxiren os seus recontos de contedores, porque cada proxecto tende a crear a súa propia rede predeterminada. Un contedor detido non libera a asignación da súa rede.

Revisa tamén a configuración do conxunto, xa que un conxunto predeterminado ten un rango base e un tamaño de prefixo por rede. As asignacións grandes por rede esgotan os bloques dispoñibles máis rápido, e iso é un feito de capacidade, non un problema de encamiñamento.

Anota o reconto. É a liña base que che di se axudou o seguinte cambio.

Compara a visión que o daemon ten das rutas

Unha VPN pode influír na selección de candidatos, pero a implementación exacta decide como. En Moby 28.2.2 en Linux, InferReservedNetworks recolle enderezos de servidores de nomes e certas rutas IPv4 on-link, e non reserva simplemente cada ruta de cada táboa. As rutas de enlace recollidas tamén exclúen un enderezo de destino non especificado, así que unha ruta 0.0.0.0/1 por si soa non reserva todos os enderezos. Outro prefixo on-link amplo, como 128.0.0.0/1, pode intersecar os rangos candidatos habituais 172 e 192.

Compara ip -4 route show table all antes e despois de que a VPN se conecte, no host do daemon. O delta é a evidencia, e a versión é o alcance da afirmación.

Non xeneralices as heurísticas dunha versión a todas as versións. Así é como unha resposta de foro se converte nun cambio de política.

Escolle a corrección máis pequena que funcione

Se unha rede non utilizada confirmada contén un bloque que necesitas, planifica a súa retirada dirixida co propietario en lugar de podar de forma ampla. Para unha rede nova, unha subrede non utilizada revisada explicitamente evita de todo depender da selección automática. Esa subrede aínda debe evitar destinos reais de Docker, LAN e VPN obrigatorios, porque privado non significa seguro. Encamiñar un prefixo remoto real cambiaría o erro de asignación por un acceso roto.

Cambiar default-address-pools é unha política máis ampla sobre asignacións futuras. Escolle unha base sen conflitos e un tamaño asignado axeitado, fusiónaa coa configuración existente do daemon e planifica o impacto documentado do reinicio. As redes existentes non se renumeran en silencio.

Non desactives os envíos de rutas da empresa para que a asignación teña éxito. Un plan de enderezos explícito adoita resolver o problema local sen debilitar unha política obrigatoria.

Acepta a asignación e o encamiñamento por separado

Despois do cambio, inspecciona a subrede que Docker creou realmente e proba as dependencias de VPN e locais da aplicación. Unha asignación correcta e un encamiñamento correcto en execución son dúas comprobacións de aceptación diferentes, e superar a primeira non é evidencia da segunda. Se a aplicación non pode alcanzar un recurso detrás do túnel, tes un problema de encamiñamento que o erro do conxunto ocultaba. Rexistra ambos os resultados no tícket.

Conserva o delta de rutas e o reconto do conxunto co rexistro do cambio, porque a próxima actualización do cliente VPN pode alterar o primeiro sen tocar Docker.

O manual está completo cando outra persoa pode repetir esas dúas comprobacións e obter a mesma resposta.