Nu se poate ajunge la containerul Docker din alt container Docker prin IP gazdă

Am un server care rulează un Wireguard VPN 10.0.1.254/24 iar Docker rulează 172.17.0.1/16.

Ale mele docker-compose.yaml arată așa (simplificat):

Servicii:
  container_a:
    imagine: nginx:latest
    porturi:
      - „10.0.1.254:80:80”

  container_b:
    imagine: alpine:latest

Acum, pot ajunge la nginx folosind wget http://10.0.1.254 pe gazdă. Pot ajunge la el în același mod de la un peer VPN (de ex. 10.0.1.1). Dar când încerc să fac asta dintr-un alt container Docker (de ex. docker compose exec container_b wget http://10.0.1.254) Primesc un timeout. Totuși, pot da ping la gazdă (docker compose exec container_b ping 10.0.1.254).

Bănuiesc că asta are ceva de-a face cu modul în care Docker mapează porturile pe gazdă. Dar nu găsesc prea multe informații despre asta. Stie cineva de ce nu merge asta?

Se pare că încă aveam instalat UFW, care a fost configurat pentru a permite conexiunea de intrare la acest port pe wg0 interfata. Dar sistemul a fost suficient de inteligent pentru a lua o scurtătură, direct de la o interfață virtuală Docker la cealaltă, ocolind această regulă ACCEPT pentru wg0 interfata.

Mi-am dat seama de asta folosind coada +1f /var/log/ufw.log, iar apoi rularea eșecului wget comanda din celălalt container Docker.

În cazul meu, soluția a fost pur și simplu dezactivarea UFW (sudo ufw dezactivare), deoarece oricum nu-l folosesc.