<div dir="ltr"><div>Hi,</div><div><br></div><div>I have a STX 3.0 bare metal duplex installation here. Followed the instructions on the web site. Only difference is I added two VLAN interfaces (one for the mgmt network, the other for the cluster-host network).</div><div><br></div><div>Both controllers are up and running (unlocked, available, online). No alarms.</div><div><br></div><div>I would like to login to the docker registry (registry.local) from a machine which sits on the mgmt and cluster-host network (but does not have access to the OAM network).</div><div><br></div><div>When I run the docker login cmd like so:</div><div><br></div><div style="margin-left:40px">docker login -u admin <a href="https://registry.local:9001">https://registry.local:9001</a></div><div><br></div><div>I get back:<br></div><div><br></div><div style="margin-left:40px">Error response from daemon: Get <a href="https://registry.local:9001/v2/">https://registry.local:9001/v2/</a>: Get <a href="https://192.168.30.5:9002/token/?account=admin&client_id=docker&offline_token=true&service=192.168.204.1%3A9001">https://192.168.30.5:9002/token/?account=admin&client_id=docker&offline_token=true&service=192.168.204.1%3A9001</a>: dial tcp <a href="http://192.168.30.5:9002">192.168.30.5:9002</a>: connect: network is unreachable</div><div style="margin-left:40px"><br></div><div>192.168.30.5 is the floating OAM ip address. Digging a bit deeper I found that this curl command:</div><div><br></div><div style="margin-left:40px">curl -v -s -H "Content-Type: application/json" -X POST -d '{"username": "'admin'", "password": "'PassWord123*'"}' <a href="https://registry.local:9001/v2/_catalog">https://registry.local:9001/v2/_catalog</a></div><div><br></div><div>returns:</div><div><br></div><div style="margin-left:40px">< HTTP/1.1 401 Unauthorized<br>< Content-Type: application/json; charset=utf-8<br>< Docker-Distribution-Api-Version: registry/2.0<br>< Www-Authenticate: Bearer realm="<a href="https://192.168.30.5:9002/token/">https://192.168.30.5:9002/token/</a>",service="<a href="http://192.168.204.1:9001">192.168.204.1:9001</a>",scope="registry:catalog:*"<br>< X-Content-Type-Options: nosniff<br>< Date: Fri, 10 Jul 2020 17:36:33 GMT<br>< Content-Length: 145</div><div><br></div><div>So the bearer realm address returned seems to point to the OAM network (to which I don't have access, hence the 'network is unreachable' error). I should also point out the the registry-token-server is configured like so:</div><div style="margin-left:40px"><br></div><div style="margin-left:40px">REGISTRY_TOKEN_SERVER_ADDR=<a href="http://192.168.204.1:9002">192.168.204.1:9002</a><br>REGISTRY_TOKEN_SERVER_ISSUER=bird-token-server<br>REGISTRY_TOKEN_SERVER_KS_ENDPOINT=<a href="http://192.168.204.1:5000/v3">http://192.168.204.1:5000/v3</a><br>REGISTRY_TOKEN_SERVER_TLSCERT=/etc/ssl/private/registry-cert.crt<br>REGISTRY_TOKEN_SERVER_TLSKEY=/etc/ssl/private/registry-cert.key<br>REGISTRY_TOKEN_SERVER_REALM=<a href="https://192.168.204.1:9002/token/">https://192.168.204.1:9002/token/</a><br>REGISTRY_TOKEN_SERVER_KEY=/etc/ssl/private/registry-cert-pkcs1.key</div><div><br></div><div>Here, the REGISTRY_TOKEN_SERVER_REALM is correctly set to <a href="https://192.168.204.1:9002/token/">https://192.168.204.1:9002/token/</a>. Lastly, the /etc/docker-distribution/registry/config.yml configuration file points to another realm address:</div><div><br></div><div style="margin-left:40px">auth:<br>  token:<br>    realm: "<a href="https://192.168.30.5:9002/token/">https://192.168.30.5:9002/token/</a>"<br>    service: "<a href="http://192.168.204.1:9001">192.168.204.1:9001</a>"<br>    issuer: bird-token-server<br>    rootcertbundle: /etc/ssl/private/registry-cert.crt</div><div style="margin-left:40px"><br></div><div>What am I missing here? How can I login to the registry from outside the OAM network?<br></div><div><br></div><div>Regards,</div><div><br></div><div>Marc<br></div></div>