Network-Isolation mit podman (rootless)

[gehrke]

Moin *

Ich habe eine Nextcloud-Installation mit Podman-Compose als rootfull-Container, alle Container laufen auf dem selben Host. Darin sind zwei Netze aufgezogen, um aus Sicherheitsgründen den Webserver/ReverseProxy von den Backend-Systemen zu isolieren.

podman network inspect podman_frontend | grep -E "name\":|ipnet"
          "name": "podman_frontend",
                    "name": "cron",
                                        "ipnet": "10.89.3.9/24",
                    "name": "nextcloud",
                                        "ipnet": "10.89.3.10/24",
                    "name": "proxymanager",
                                        "ipnet": "10.89.3.8/24",

podman network inspect podman_backend | grep -E "name\":|ipnet"
          "name": "podman_backend",
                    "name": "cron",
                                        "ipnet": "10.89.4.14/24",
                    "name": "nextcloud",
                                        "ipnet": "10.89.4.15/24",
                    "name": "postgres",
                                        "ipnet": "10.89.4.12/24",
                    "name": "elasticsearch",
                                        "ipnet": "10.89.4.17/24",

Das läuft problemlos, ich möchte jetzt aber umstellen auf rootless und native Pod-Integration. Aber je mehr ich darüber lese, desto mehr Zweifel kommen auf, ob das überhaupt machbar ist. AFAIK geht das nur mit slirp4netns , aber da sehe ich keine ausreichenden Möglichkeiten für die gewünschte Isolation. Mein erster Ansatz ist, alle Komponenten in einem Pod unterzubringen.

Configuring container networking with Podman

Irgendwelche Hinweise, ob und wie das möglich ist?
TNX

Hinweis: Bitte keine Diskussion über die Fragen, warum Isolation, warum rootless oder warum nicht mit alternativem Tool X. Das ist mein Setup, dafür benötige ich eine Lösung...
Alternative ist bekannt: native Pod-Integration rootfull, das sollte auf jeden Fall gehen.


Glückauf, gehrke