☰

如何限制外部访问Docker 容器公开的端口，同时仍允许链接工作？

tag-icon • tag-icon networking iptables linux-networking docker docker-compose
如何限制外部访问Docker 容器公开的端口，同时仍允许链接工作？

我在 docker 容器中的一台机器上运行了一些服务，这些服务需要对特定 IP 地址可用，并且需要对具有链接的容器可用（如 docker-compose 文件中所定义）。我尝试了这些命令，但这似乎也会丢弃来自同一 docker 网络上的容器的数据包：

iptables -I DOCKER-USER ! -s 8.8.8.8/32 -p tcp -m tcp --dport 1234 -j DROP

iptables -I DOCKER-USER ! -s 8.8.8.8/32 -p tcp -m tcp --dport 12345 -j DROP

如何设置 iptables 以丢弃从所有 IP 地址（8.8.8.8 和任何带有链接的容器（如 docker-compose 文件中所定义））发往端口 1234 和 12345 的数据包？

docker-compose 似乎创建了一个桥接接口，以及许多具有随机名称的虚拟接口（每个容器一个？）。

这是我正在使用的 docker-compose.yml 文件：

version: '3'
services:
    django:
        build: .
        image: django
        depends_on:
            - mysql-db
            - sel
        ports:
            - "80:54321"
        links:
            - mysql-db
            - sel
            - rabbit
            - redis
        volumes:
            - vol1:/media/DataRaid1/vol1
            - /etc/secret_key.txt:/etc/secret_key.txt
            - django-media:/var/www/media
        environment:
            - DJANGO_SETTINGS_MODULE=a_project.settings_production
            - COMMIT
        command: httpd-foreground"
    mysql-db:
        image: mysql:5.7.18
        environment:
            - MYSQL_ROOT_PASSWORD=APASSWORD
        volumes:
            - mysql-data:/var/lib/mysql
            - ./custom-mysql.cnf:/etc/mysql/conf.d/custom-mysql.cnf
    sel:
        image: "selenium/standalone-chrome"
        volumes: #Fixes bug https://github.com/elgalu/docker-selenium/issues/20
            - /dev/shm:/dev/shm
    # Redis
    redis:
        image: redis:4.0.9
        hostname: redis
        ports:
            - "1234:1234"

    # RabbitMQ
    rabbit:
        hostname: rabbit
        image: rabbitmq
        environment:
            - RABBITMQ_DEFAULT_USER=AUSER
            - RABBITMQ_DEFAULT_PASS=APASSWORD
        ports:
            - "12345:12345"
    # Celery worker
    worker:
        build: .
        command: bash -c "sleep 10 && celery worker -A a_project.celeryconf -Q default -n default@%h"
        volumes:
          - .:/var/www
        links:
          - mysql-db
          - rabbit
          - redis
        depends_on:
          - rabbit
        environment:
            - DJANGO_SETTINGS_MODULE=a_project.settings_production
            - C_FORCE_ROOT=true
volumes:
    vol1:
    mysql-data:
    django-media:

答案1

  1. 对每个容器使用网络模式：

    network_mode: "host"

  2. 使用绑定到 127.0.0.1 + 一些代理容器的端口：

    ports:
  - "127.0.0.1:12345:12345"

  3. 根本不使用端口+一些代理容器

  4. 将 iptables 规则添加到适当的 docker 链，现在不确定哪一个...

相关内容