docker 容器中不需要的伪装

Question 1

容器间连接 (ICC) 默认启用，并且自动将容器链接在一起无需使用--link或定义network。

如果你想禁用它，请icc: false在 Docker 守护进程配置中设置（/etc/daemon.json）

未定义或设置为 true 会使 Docker 守护进程在创建容器的同时创建连接的网络。这些网络就是您看到的 iptables 规则的来源。

更多内容请见官方 Docker桥接网络教程。

Answer

容器间连接 (ICC) 默认启用，并且自动将容器链接在一起无需使用--link或定义network。

如果你想禁用它，请icc: false在 Docker 守护进程配置中设置（/etc/daemon.json）

未定义或设置为 true 会使 Docker 守护进程在创建容器的同时创建连接的网络。这些网络就是您看到的 iptables 规则的来源。

更多内容请见官方 Docker桥接网络教程。

Question 2

我遇到了同样的问题，对我来说，我相信这与以下因素有关：

https://github.com/moby/moby/issues/43440

问题是我创建了一个 Docker 网络，然后删除它并再次创建另一个。Docker 足够智能，可以重用相同的 IP 范围（在我的情况下为 172.18.0.0/16），但防火墙似乎会跟踪前一个 Docker 网络：

# iptables -t nat -S 
...
-A POSTROUTING -s 172.18.0.0/16 ! -o br-4a99e748fcc1 -j MASQUERADE
-A POSTROUTING -s 172.18.0.0/16 ! -o br-9dbbf26e610f -j MASQUERADE
...

其中 br-4a99e748fcc1 确实是现有的接口，但 br-9dbbf26e610f 是剩余的接口……（已从firewalld 中删除但并未永久抑制）。

# ip add show br-9dbbf26e610f
Device "br-9dbbf26e610f" does not exist.

如果我删除了错误的行，一切都会恢复正常：NAT发夹（源IP被网关地址替换）不再发生：

# iptables -t nat -D POSTROUTING -s 172.18.0.0/16 ! -o br-9dbbf26e610f -j MASQUERADE

这完全说得通：规则规定，任何数据包

源自源范围 172.18.0.0/16
不通过 br-9dbbf26e610f 出去

应该经过伪装......当然，没有数据包通过那个不存在的接口出去（！）所以这会导致伪装 Docker 网络中的所有 IP。

编辑：firewall-cmd--reload 再次创建规则！

正如上面的 Docker 问题中所述，我最终决定firewall-cmd从区域中删除僵尸接口docker。这必须在 Docker 守护进程关闭时完成，因为否则它似乎会跟踪这些僵尸接口……

systemctl stop docker

for interface in $(firewall-cmd --zone=docker --list-interfaces)
do
    if ! ip link ls "${interface}" >/dev/null 2>&1
    then
        firewall-cmd --zone=docker --remove-interface="${interface}"
        firewall-cmd --runtime-to-permanent
        firewall-cmd --reload
    fi
done

systemctl start docker

Answer

我遇到了同样的问题，对我来说，我相信这与以下因素有关：

https://github.com/moby/moby/issues/43440

问题是我创建了一个 Docker 网络，然后删除它并再次创建另一个。Docker 足够智能，可以重用相同的 IP 范围（在我的情况下为 172.18.0.0/16），但防火墙似乎会跟踪前一个 Docker 网络：

# iptables -t nat -S 
...
-A POSTROUTING -s 172.18.0.0/16 ! -o br-4a99e748fcc1 -j MASQUERADE
-A POSTROUTING -s 172.18.0.0/16 ! -o br-9dbbf26e610f -j MASQUERADE
...

其中 br-4a99e748fcc1 确实是现有的接口，但 br-9dbbf26e610f 是剩余的接口……（已从firewalld 中删除但并未永久抑制）。

# ip add show br-9dbbf26e610f
Device "br-9dbbf26e610f" does not exist.

如果我删除了错误的行，一切都会恢复正常：NAT发夹（源IP被网关地址替换）不再发生：

# iptables -t nat -D POSTROUTING -s 172.18.0.0/16 ! -o br-9dbbf26e610f -j MASQUERADE

这完全说得通：规则规定，任何数据包

源自源范围 172.18.0.0/16
不通过 br-9dbbf26e610f 出去

应该经过伪装......当然，没有数据包通过那个不存在的接口出去（！）所以这会导致伪装 Docker 网络中的所有 IP。

编辑：firewall-cmd--reload 再次创建规则！

正如上面的 Docker 问题中所述，我最终决定firewall-cmd从区域中删除僵尸接口docker。这必须在 Docker 守护进程关闭时完成，因为否则它似乎会跟踪这些僵尸接口……

systemctl stop docker

for interface in $(firewall-cmd --zone=docker --list-interfaces)
do
    if ! ip link ls "${interface}" >/dev/null 2>&1
    then
        firewall-cmd --zone=docker --remove-interface="${interface}"
        firewall-cmd --runtime-to-permanent
        firewall-cmd --reload
    fi
done

systemctl start docker

docker 容器中不需要的伪装

答案1

答案2

编辑：firewall-cmd--reload 再次创建规则！

相关内容