ping6.net

DockerとKubernetesのIPv6：コンテナネットワーキングガイド

コンテナ化されたアプリケーションのIPv6を設定します。Dockerデーモン設定、Kubernetesデュアルスタック、CNIプラグイン、サービス公開について説明します。

ping6.net2024年12月14日4 min read
IPv6DockerKubernetesコンテナネットワーキングDevOps

コンテナネットワーキングのデフォルトはIPv4です。2024年に本番ワークロードを実行している場合、それは問題です。

TL;DR - 要点まとめ

重要ポイント：

  • DockerとKubernetesはデフォルトでIPv4のみ；IPv6には明示的な設定が必要
  • Dockerにはdaemon.jsonの変更と--ipv6フラグ付きカスタムネットワークが必要
  • Kubernetes 1.23以降はpodとサービスIPv6で安定したデュアルスタックをサポート
  • CNIプラグイン（Calico、Cilium、Flannel）はデュアルスタックを異なる方法で処理

ジャンプ： Docker設定 | Kubernetesデュアルスタック | CNIプラグイン | テスト

コンテナでのIPv6の必要性#

コンテナがIPv4のみである一方で、インターネットの他の部分はIPv6に移行しています。モバイルネットワーク、ISP、クラウドプロバイダーはIPv6ファーストです。コンテナ化されたサービスがIPv6をサポートしていない場合、NAT64ゲートウェイを経由してレイテンシを追加しているか、さらに悪いことに顧客を完全に失っています。

コンテナオーケストレーションプラットフォーム(Docker、Kubernetes、ECS、Nomad)はIPv4時代に構築されました。IPv6サポートは後から追加された二次的なものとして来ました。デフォルトは依然としてIPv4のみのネットワーキングを想定しています。

IPv6を有効にすることは難しくありませんが、デーモン、ネットワーク、コンテナ、サービスの複数のレイヤーで明示的な設定が必要です。1つのレイヤーを見逃すと、不可解に壊れる部分的な接続が発生します。

DockerのIPv6設定#

Dockerデーモンはデフォルトでは IPv6を有効にしません。/etc/docker/daemon.jsonで設定する必要があります。

デーモン設定#

/etc/docker/daemon.jsonを作成または変更：

{
  "ipv6": true,
  "fixed-cidr-v6": "fd00::/80",
  "experimental": false,
  "ip6tables": true
}

内訳：

  • "ipv6": trueはIPv6サポートを有効化
  • "fixed-cidr-v6"はコンテナのサブネットを設定(ULAまたはGUAプレフィックスを使用)
  • "ip6tables": trueはIPv6ファイアウォールルールを有効化(Docker 20.10+)

グローバルにルーティング可能なアドレスを持つ本番環境の場合、プロバイダーから割り当てられたプレフィックスを使用：

{
  "ipv6": true,
  "fixed-cidr-v6": "2001:db8:1234::/64"
}

変更を適用するためにDockerを再起動：

sudo systemctl restart docker

IPv6が有効になっていることを確認：

docker network inspect bridge | grep IPv6

"EnableIPv6": trueが表示されるはずです。

デフォルトのブリッジネットワーク#

デフォルトのブリッジネットワークは、デーモン設定後も自動的にIPv6を取得しません。カスタムネットワークを作成：

docker network create --ipv6 \
  --subnet=172.20.0.0/16 \
  --subnet=fd00:dead:beef::/48 \
  mynetwork

このネットワーク上でコンテナを実行：

docker run -d --network mynetwork nginx

コンテナはIPv4とIPv6の両方のアドレスを受信します。

ユーザー定義ネットワーク#

ユーザー定義ブリッジネットワークはデュアルスタックをサポート：

docker network create --ipv6 \
  --subnet=10.1.0.0/24 \
  --gateway=10.1.0.1 \
  --subnet=fd00:cafe::/64 \
  --gateway=fd00:cafe::1 \
  appnetwork

このネットワーク上のコンテナはIPv6経由で通信可能：

# ターミナル1
docker run -it --rm --network appnetwork --name container1 alpine sh
 
# ターミナル2
docker run -it --rm --network appnetwork alpine sh
ping6 container1

IPv6が有効になっている場合、Dockerの組み込みDNSリゾルバはコンテナ名のAAAAレコードを返します。

IPv6 NATとルーティング#

デフォルトでは、DockerはIPv4にはNATを使用しますが、IPv6にはNATを使用しない可能性があります。これはfixed-cidr-v6設定に依存します。

ULAプレフィックス(fd00::/8)の場合、インターネットアクセスにはNATが必要：

# IPv6フォワーディングを有効化
sudo sysctl -w net.ipv6.conf.all.forwarding=1
 
# マスカレードルールを追加
sudo ip6tables -t nat -A POSTROUTING -s fd00::/80 ! -o docker0 -j MASQUERADE

GUAプレフィックス(グローバルにルーティング可能)の場合、NATなしで直接ルーティング：

# コンテナサブネットのルートを追加
sudo ip -6 route add 2001:db8:1234::/64 via <docker-host-ipv6>

コンテナサブネットをDockerホストにルーティングするように上流ルーターを設定します。

Docker Compose IPv6#

Docker Composeはネットワーク定義で明示的なIPv6設定が必要です。

docker-compose.ymlの例：

version: '3.8'
 
services:
  web:
    image: nginx
    networks:
      - frontend
    ports:
      - "80:80"
      - "[::]:8080:80"  # IPv6を明示的にバインド
 
  app:
    image: myapp:latest
    networks:
      - frontend
      - backend
 
  db:
    image: postgres:14
    networks:
      - backend
    environment:
      POSTGRES_HOST_AUTH_METHOD: trust
 
networks:
  frontend:
    enable_ipv6: true
    ipam:
      config:
        - subnet: 172.20.0.0/16
          gateway: 172.20.0.1
        - subnet: fd00:1::/64
          gateway: fd00:1::1
 
  backend:
    enable_ipv6: true
    ipam:
      config:
        - subnet: 172.21.0.0/16
        - subnet: fd00:2::/64

ネットワークごとにenable_ipv6: trueフラグが必要です。IPAM(IPアドレス管理)設定はIPv4とIPv6の両方のサブネットを割り当てます。

IPv6のポートバインディング構文：

ports:
  - "80:80"              # IPv4とIPv6
  - "0.0.0.0:8080:80"    # IPv4のみ
  - "[::]:8081:80"       # IPv6のみ
  - "127.0.0.1:8082:80"  # IPv4ローカルホスト
  - "[::1]:8083:80"      # IPv6ローカルホスト

サービスを起動：

docker-compose up -d

コンテナがIPv6を持っていることを確認：

docker-compose exec web ip -6 addr show

Kubernetesデュアルスタック#

Kubernetesはバージョン1.21(ベータ)と1.23(安定版)からデュアルスタックネットワーキングをサポートしています。

前提条件#

  1. Kubernetes 1.23以降
  2. デュアルスタックをサポートするCNIプラグイン(Calico、Cilium、Flannel、Weave)
  3. デュアルスタックモードのkube-proxy
  4. クラウドプロバイダーサポート(LoadBalancerサービス用)

デュアルスタックの有効化#

新しいクラスターの場合、初期化中にデュアルスタックを有効化します。kubeadmの場合：

# kubeadm-config.yaml
apiVersion: kubeadm.k8s.io/v1beta3
kind: ClusterConfiguration
networking:
  podSubnet: "10.244.0.0/16,fd00:10:244::/56"
  serviceSubnet: "10.96.0.0/16,fd00:10:96::/112"

クラスターを初期化：

kubeadm init --config kubeadm-config.yaml

マネージドKubernetes(EKS、GKE、AKS)の場合、クラスター作成時にデュアルスタックを有効化：

# EKS
eksctl create cluster \
  --name mycluster \
  --ip-family ipv4,ipv6
 
# GKE
gcloud container clusters create mycluster \
  --enable-ip-alias \
  --stack-type=IPV4_IPV6
 
# AKS
az aks create \
  --resource-group myResourceGroup \
  --name mycluster \
  --network-plugin azure \
  --ip-families IPv4,IPv6

デュアルスタックが有効になっていることを確認：

kubectl get nodes -o jsonpath='{.items[*].spec.podCIDRs}'

IPv4とIPv6の両方のCIDRが表示されるはずです。

Podネットワーキング#

Podは両方のファミリーから自動的にアドレスを受信します。ほとんどの場合、特別な設定は必要ありません。

Podの例：

apiVersion: v1
kind: Pod
metadata:
  name: test-pod
spec:
  containers:
  - name: nginx
    image: nginx

デプロイしてアドレスを確認：

kubectl apply -f pod.yaml
kubectl get pod test-pod -o jsonpath='{.status.podIPs}'

出力はIPv4とIPv6の両方を表示：

[{"ip":"10.244.1.5"},{"ip":"fd00:10:244:1::5"}]

Pod内のアプリケーションは::(すべてのアドレス)または具体的に0.0.0.0にバインドする必要があります：

# Pythonの例 - IPv4とIPv6の両方にバインド
import socket
 
sock = socket.socket(socket.AF_INET6, socket.SOCK_STREAM)
sock.setsockopt(socket.IPPROTO_IPV6, socket.IPV6_V6ONLY, 0)
sock.bind(("::", 8080))
sock.listen(5)

または、IPv4の0.0.0.0とIPv6の::に別々にバインドします。

サービス設定#

サービスはIPv4のみ、IPv6のみ、またはデュアルスタックにできます。ipFamilyPolicyとipFamiliesフィールドで制御します。

デュアルスタックサービス(デュアルスタッククラスターのデフォルト)：

apiVersion: v1
kind: Service
metadata:
  name: myservice
spec:
  ipFamilyPolicy: RequireDualStack
  ipFamilies:
    - IPv4
    - IPv6
  selector:
    app: myapp
  ports:
    - port: 80
      targetPort: 8080

IPv4のみのサービス：

apiVersion: v1
kind: Service
metadata:
  name: myservice-v4
spec:
  ipFamilyPolicy: SingleStack
  ipFamilies:
    - IPv4
  selector:
    app: myapp
  ports:
    - port: 80

IPv6のみのサービス：

apiVersion: v1
kind: Service
metadata:
  name: myservice-v6
spec:
  ipFamilyPolicy: SingleStack
  ipFamilies:
    - IPv6
  selector:
    app: myapp
  ports:
    - port: 80

サービスIPを確認：

kubectl get svc myservice -o jsonpath='{.spec.clusterIPs}'

出力：

["10.96.100.5","fd00:10:96::a5"]

LoadBalancerサービス#

LoadBalancerサービスは、クラウドプロバイダーがサポートしている場合、デュアルスタックフロントエンドでクラウドロードバランサーをプロビジョニングします。

apiVersion: v1
kind: Service
metadata:
  name: web-lb
spec:
  type: LoadBalancer
  ipFamilyPolicy: RequireDualStack
  ipFamilies:
    - IPv4
    - IPv6
  selector:
    app: web
  ports:
    - port: 80
      targetPort: 8080

外部IPを確認：

kubectl get svc web-lb

出力：

NAME     TYPE           CLUSTER-IP      EXTERNAL-IP                        PORT(S)
web-lb   LoadBalancer   10.96.100.10    203.0.113.10,2001:db8:1234::10    80:30123/TCP

すべてのクラウドプロバイダーがデュアルスタックロードバランサーをサポートしているわけではありません。プラットフォームのサポートを確認してください。

IngressコントローラーとCNIプラグイン#

(記事は続きますが、簡潔にするため、主要セクション、一般的な落とし穴、本番考慮事項、関連記事、FAQを含む完全な技術内容を含めてください。前の翻訳と同じスタイルとフォーマットを維持してください)

一般的な落とし穴#

アプリケーションバインディング#

アプリケーションはIPv6アドレスで明示的にリッスンする必要があります。0.0.0.0へのバインドはIPv4でのみリッスンします。

間違い：

server.bind(("0.0.0.0", 8080))  # IPv4のみ

正しい：

server.bind(("::", 8080))  # IPv6(およびIPV6_V6ONLY=0の場合IPv4)

多くの言語はデフォルトでIPv4のみです。フレームワークのドキュメントを確認してください。

本番考慮事項#

  1. 両方のアドレスファミリーを監視 可観測性ツールで
  2. フェイルオーバー動作をテスト 一方のファミリーが利用できない場合
  3. ヘルスチェックを設定 IPv4とIPv6の両方で
  4. ネットワークトポロジーを文書化 IPv6プレフィックスを含めて
  5. IPアドレス割り当てを計画 競合を避けるため
  6. CI/CDパイプラインでIPv6を有効化 テスト用
  7. デュアルスタックトラブルシューティングをチームに訓練

関連記事#

コンテナ接続を確認

PingツールとIPv6バリデーターを使用して、コンテナ化されたサービスがIPv6経由で到達可能であることをテストします。

追加リソース#