Armadilloフォーラム

hataさん

お世話になっています、
マルティネです。

> を追加することでcan0をコンテナから見ることができ、ip link でupすることでコンテナから使用できるようにました。しかし、usb0もwlan0も全て繋がってしまいました。セキュリティとしても問題がありそうで、コンテナとして好ましい状態と思えません。

そうですね、理想では can だけをコンテナに提供したいですね。
NET_ADMIN の制限もありますので、net=host のコンテナは結局何でもできてしまいます…
ひとまず ip link up をあらかじめ ABOS から実行しておけば（/etc/local.d のスクリプトかコンテナのコンフィグで直接に行うなどで）コンテナに NET_ADMIN の制限がなくても通信できると思いますが、いかがでしょうか？

> can0のみをコンテナに接続したいのですが、ブリッジなどを試してみましたがうまくいきません。
> 良い方法はありませんでしょうか。(コンテナはslim-bullseyeを使っております)

ご確認していただいた通り、podman は残念ながら can 等の設定を可能としません。
--net=host も使いたくない場合はかなり面倒になりますが、iproute2 の ip コマンドで can0 インタフェースの namespace を変更できます。
Armadillo Base OS では busybox の ip コマンドしかありませんので、それもコンテナで実行する必要もあります…
手動でこういう形にできそうです：

armadillo:~# podman run --cap-add=NET_ADMIN --net=host -v /var/run/netns:/var/run/netns -ti --rm netns
/ # ip netns list
netns-55c02473-599c-9671-d5b9-1f0619e1ff8b (id: 0)
^ はデフォルトネットワークで実行しているターゲットコンテナの network namespace です。
podman inspect で確認すると「               "SandboxKey": "/run/netns/netns-55c02473-599c-9671-d5b9-1f0619e1ff8b"」として出てきます。
/ # ip link set can0 up
/ # ip link set can0 netns netns-55c02473-599c-9671-d5b9-1f0619e1ff8b

その後にターゲットコンテナから can0 のインタフェースを使えるようになります。

手動でできても、実際に運用で使うと考えてもかなり使いにくいと思います。
コンテナはalpha順番に起動されてますので普段の起動でスクリプトしてどうにかなるかもしれませんが、そのターゲットコンテナが停止してしまうとその network namespace が削除されて can インタフェースが消えてしまいます。再起動無しのアップデートか何かの理由でコンテナを再起動してしまうと can を使用できなくなりますのでかなり不便です。

インターフェースの移動以外に vxcan と can_gw の機能でどうにかできそうですが、Armadillo Base OS のカーネルに無効になっていますのでこのままでは使えませんし、設定方法も移動より複雑になりますので省略します。
https://wiki.automotivelinux.org/_media/agl-distro/agl2018-socketcan.pdf に英語の説明は少しあります。

個人的な意見としては、podman (netavark) での設定方法ができたらぜひ使いたいですが、現状ではコンテナに NET_ADMIN の制限がなければ net=host でいいと思います。
https://github.com/containers/netavark/issues/940 で netavark の開発者に連絡してその問題を説明しておいて、何か動きあれば Armadillo Base OS でも使えるようにします。

よろしくお願いします。