解决actions-runner-controller中Docker容器无法连接GitHub的问题

问题背景

在使用actions-runner-controller项目部署自托管GitHub Actions运行器时，用户可能会遇到一个常见问题：当运行器以DinD（Docker in Docker）模式运行时，容器内的Docker实例无法建立到GitHub的SSL连接，导致操作失败并出现"SSL connection timeout"错误。

问题分析

这个问题通常与网络配置有关，特别是MTU（最大传输单元）设置不匹配导致的。在Kubernetes环境中，Pod网络接口的MTU值通常小于标准以太网的1500字节（例如1450或1460字节）。当DinD容器创建默认网络时使用1500字节的MTU，而底层网络实际支持更小的MTU值时，就会导致数据包被丢弃，表现为SSL/TLS握手超时。

解决方案

方法一：调整Docker守护进程的MTU设置

最简单的解决方案是在DinD容器启动时通过参数设置MTU值：

template:
  spec:
    containers:
    - name: dind
      image: docker:dind
      args:
        - dockerd
        - --host=unix:///var/run/docker.sock
        - --group=$(DOCKER_GROUP_GID)
        - --mtu=1450

方法二：配置默认网络选项

对于Docker 20.10及以上版本，可以使用--default-network-opt参数为所有新建的网络设置MTU：

template:
  spec:
    containers:
    - name: dind
      image: docker:dind
      args:
        - dockerd
        - --host=unix:///var/run/docker.sock
        - --group=$(DOCKER_GROUP_GID)
        - --default-network-opt=bridge=com.docker.network.driver.mtu=1450

这种方法特别适合依赖Docker网络创建的自动化工具（如Dependabot），因为它会确保所有新建的网络都使用正确的MTU值。

方法三：使用ConfigMap配置Docker守护进程

对于更复杂的配置需求，可以创建ConfigMap来定义完整的Docker守护进程配置：

1. 创建包含daemon.json的ConfigMap：

apiVersion: v1
kind: ConfigMap
metadata:
  name: docker-daemon-config
data:
  daemon.json: |
    {
      "mtu": 1450,
      "bridge": {
        "com.docker.network.driver.mtu": "1450"
      }
    }

2. 在Pod模板中挂载这个ConfigMap：

template:
  spec:
    containers:
    - name: dind
      image: docker:dind
      volumeMounts:
        - name: docker-config
          mountPath: /etc/docker/daemon.json
          subPath: daemon.json
      volumes:
        - name: docker-config
          configMap:
            name: docker-daemon-config

最佳实践建议

1. 确定正确的MTU值：在实施解决方案前，应先确认底层Kubernetes网络的MTU值。可以通过在节点上运行ip a命令查看网络接口的MTU设置。

2. 全面测试：修改配置后，应测试各种场景，包括：

   • 基本的Git操作
   • 容器操作
   • 自动化工具（如Dependabot）的工作流

3. 版本兼容性：注意不同Docker版本对参数的支持情况。较新的Docker版本支持更灵活的网络配置选项。

4. 监控和日志：实施变更后，应监控运行器性能并检查Docker守护进程日志，确保配置按预期工作。

总结

通过正确配置DinD容器的MTU设置，可以有效解决actions-runner-controller中Docker容器无法连接GitHub的问题。根据具体环境和需求，可以选择直接参数配置、默认网络选项设置或完整的ConfigMap配置方案。理解底层网络原理并选择适当的解决方案，可以确保自托管GitHub Actions运行器在各种场景下都能可靠工作。