Docker VPN 将内部流量路由到可从外部访问的容器

Question

默认情况下，Docker 不允许任何两个连接到不同网桥的容器之间的通信。此外，它还不允许从容器到 docker 本身已映射到外部的端口的通信。这一切都通过以下方式实现：iptables。

首先，端口到外部的映射也发生在iptables。它使用DNAT规则纳特表。对于这些规则，Docker 会创建一个单独的DOCKER链，以便从PREROUTING或OUTPUT从纳特表。DNAT规则前面有RETURN跳转，可以过滤掉来自 Docker 桥的所有流量。所以这是第一个障碍。

它看起来有点像这样：

-A DOCKER -i br-one -j RETURN
-A DOCKER -i br-two -j RETURN
-A DOCKER ! -i br-one -p tcp -m tcp --dport EXPOSEDPORT -j DNAT --to-destination 172.17.0.2:INTERNALPORT

如果您仅将端口暴露给该本地地址，则规则也可以具有。由于之前的规则，任何 Docker 网桥的流量都无法命中规则DNAT。此外，规则不允许通过流量来自的同一网桥返回。这无论如何都没有必要，因为从同一网桥您可以直接到达-d addressDNATRETURNDNATDNAT内部端口已经。

不同桥梁上的集装箱通行限制在筛选表iptables。链的开头有两个自定义链FORWARD，该链的默认策略是DROP。一个用于具有用户定义桥的容器，另一个用于具有 Docker 桥的容器：DOCKER-ISOLATION-STAGE-1。该链再次使用DOCKER-ISOLATION-STAGE-2。两者的组合基本上表明，如果流量树叶Docker 桥接器进入另一个 Docker 桥，然后DROP它（没有 ICMP 信令，所以连接就挂起了.....）

它看起来像这样：

-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A DOCKER-ISOLATION-STAGE-1 -i br-one ! -o br-one -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -i br-two ! -o br-two -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-2 -o br-one -j DROP
-A DOCKER-ISOLATION-STAGE-2 -o br-two -j DROP

所以如果你想要从桥上获取流量一，击中DNAT桥上集装箱暴露在外面的端口二并且您希望流量返回以建立完整的连接，那么您必须做以下几件事：

删除阻止来自以下链的RETURN流量的规则：DNATDOCKER纳特表。您必须删除RETURN源网桥的。RETURN如果您不想允许来自该网桥的容器访问DNAT暴露端口，您可以保留目标网桥的。
- iptables -t nat -D DOCKER -i br-one -j RETURN
- iptables -t nat -D DOCKER -i br-two -j RETURN #如果 br-one -> br-two，则为可选
从链中删除DROP两座桥梁的规则DOCKER-ISOLATION-STAGE-2筛选桌子。
- iptables -t filter -D DOCKER-ISOLATION-STAGE-2 -o br-one -j DROP
- iptables -t filter -D DOCKER-ISOLATION-STAGE-2 -o br-two -j DROP

现在线条是开放的。

Docker 并不经常刷新其规则（至少在我测试的 19.03 版本中不是这样）。它似乎只在 docker 守护进程重新启动时重建规则集，而不是在您停止、启动或创建容器时重建规则集。您可以尝试将所有更改添加到服务重新启动中以保持其持久性。

Answer 1