liuzhuohua
5150f4c2e6
新增
· packaging/docker/docker-compose.yml 现成编排，含健康检查与命名卷
· packaging/docker/DOCKER-使用说明.md 完整使用文档（含常见问题）
· devtools/retag-docker-image.py 镜像重打标签工具
修正三个真实缺陷
1. 镜像标签
原本是 buildah 留下的 `localhost/drouter:1.0.0`。`localhost/` 是 Podman
的本地镜像约定，Docker 用户拿到会很困惑（像某个私服地址）。
改为 `drouter:1.0.0` + 别名 `liuzhuohua/drouter:1.0.0`。
2. license 标签写错
镜像 LABEL 里 `org.opencontainers.image.licenses` 是 **GPL-3.0**，
但项目实际是 **MIT**（Dockerfile 与镜像 config 都已改）。
3. 缺 HEALTHCHECK
没有它，compose 里 `depends_on: condition: service_healthy` 无从等起，
`docker ps` 也看不出容器是否真的活着。
补上探活 /api/health —— 注意面板走 HTTPS + 自签证书，curl 必须 -k，
否则永远 unhealthy。
compose 要点
· network_mode: host 是硬要求（bridge 下看不到真实网卡、管不了宿主 NAT）
· cap_add 只给 NET_ADMIN + NET_RAW，不用 privileged
· host 模式下 ports 会被忽略，端口由 /etc/drouter/web-port 决定，
故用 expose 表达意图而非 ports
· 四个命名卷必须挂：配置 / 数据 / 快照 / 日志
重打标签采用流式重写 tar（只替换 manifest.json、repositories 与 config
三个小文件，layer.tar 原样透传），已逐层校验 3 个 layer 的 sha256 与
原包完全一致。
100 lines
5.1 KiB
YAML
100 lines
5.1 KiB
YAML
# =============================================================================
|
|
# Drouter —— Docker Compose 编排
|
|
#
|
|
# 用法：
|
|
# docker load -i drouter-1.0.0-docker.tar
|
|
# docker compose up -d
|
|
# 浏览器打开 https://<宿主IP>:8443/
|
|
#
|
|
# ⚠️ 先读这三条，否则会踩坑：
|
|
#
|
|
# 1) 必须是 network_mode: host
|
|
# 容器要直接读写宿主网络接口和 nftables 规则，bridge 模式下看到的是
|
|
# 容器自己的网络命名空间，读不到真实网卡，也管不了宿主的 NAT。
|
|
#
|
|
# 2) NET_ADMIN 不能省
|
|
# 少了它 nft 操作会报 "Operation not permitted"，防火墙页直接失效。
|
|
# 实测：加上之后 /api/nft 正常返回真实规则集。
|
|
#
|
|
# 3) 这是「体验 / 调试」形态，不建议当主路由
|
|
# 容器里没有 systemd，服务管理页会显示 active: unknown（优雅降级，不是 bug），
|
|
# 且无法持久化 systemd 单元。真正长期当路由器跑请用 .deb 装到物理机/虚拟机上。
|
|
# =============================================================================
|
|
|
|
services:
|
|
drouter:
|
|
# 镜像从 tar 加载后即为这个名字。若你改过标签，这里同步改。
|
|
image: drouter:1.0.0
|
|
|
|
# 固定容器名，方便 docker exec / logs 直接引用
|
|
container_name: drouter
|
|
|
|
# host 网络是硬要求，见文件头说明
|
|
network_mode: host
|
|
|
|
# ── 权限 ───────────────────────────────────────────────────────────
|
|
# 这里**不用** privileged（过度授权）。只给真正需要的能力：
|
|
cap_add:
|
|
- NET_ADMIN # nft / iptables / 路由表 / 接口配置
|
|
- NET_RAW # ping / traceroute 等原始套接字探测
|
|
- NET_BIND_SERVICE # 绑定 8443（<1024 的端口才严格需要，这里保守给上）
|
|
# 若你想省事、且接受更大权限面，可以注释掉上面三行改用：
|
|
# privileged: true
|
|
|
|
# ── 端口 ───────────────────────────────────────────────────────────
|
|
# network_mode: host 下 ports 会被忽略，端口由 /etc/drouter/web-port 决定。
|
|
# 这里写出来只是**文档作用**，让 `docker compose config` 能看出监听什么。
|
|
expose:
|
|
- "8443" # HTTPS 管理面板
|
|
- "8080" # 备用 HTTP（默认关闭，可在「系统设置」里开）
|
|
|
|
# ── 持久化 ─────────────────────────────────────────────────────────
|
|
# 这四个目录**必须**挂出来，否则 docker compose down 一次配置就全丢了。
|
|
volumes:
|
|
# 配置核心：settings、web-port、active-theme、证书索引
|
|
- drouter-etc:/etc/drouter
|
|
# 运行时数据：SQLite 库、流量统计
|
|
- drouter-data:/opt/drouter/data
|
|
# 配置快照：出问题时的回滚依据
|
|
- drouter-snapshots:/opt/drouter/snapshots
|
|
# 日志
|
|
- drouter-log:/var/log/drouter
|
|
|
|
# ── 环境变量 ───────────────────────────────────────────────────────
|
|
environment:
|
|
TZ: Asia/Shanghai
|
|
# Web 端口只在**首次启动**时播种进 /etc/drouter/web-port。
|
|
# 之后想改端口，请到「系统设置」界面改 —— 别再改这里的环境变量，
|
|
# 否则会出现「界面里改了却没生效」的困惑（环境变量优先级高于配置文件）。
|
|
DROUTER_WEB_PORT: "8443"
|
|
|
|
# ── 启动策略 ───────────────────────────────────────────────────────
|
|
# unless-stopped：重启宿主后自动拉起，但用户手动 stop 后不会自己回来
|
|
restart: unless-stopped
|
|
|
|
# ── 健康检查 ───────────────────────────────────────────────────────
|
|
# /api/health 是免鉴权接口，适合探活。
|
|
# ⚠️ 面板走 HTTPS 且用自签证书，curl 必须加 -k，否则永远 unhealthy。
|
|
healthcheck:
|
|
test: ["CMD-SHELL", "PORT=$(cat /etc/drouter/web-port 2>/dev/null || echo 8443); curl -fsSk --max-time 4 https://127.0.0.1:${PORT}/api/health >/dev/null 2>&1 || exit 1"]
|
|
interval: 30s
|
|
timeout: 5s
|
|
start_period: 20s
|
|
retries: 3
|
|
|
|
# ── 日志 ───────────────────────────────────────────────────────────
|
|
logging:
|
|
driver: json-file
|
|
options:
|
|
max-size: "10m"
|
|
max-file: "3"
|
|
|
|
# =============================================================================
|
|
# 命名卷
|
|
# =============================================================================
|
|
volumes:
|
|
drouter-etc:
|
|
drouter-data:
|
|
drouter-snapshots:
|
|
drouter-log:
|