☰

确保 Swarm 中节点的 Docker 流量仅通过 VPN 连接

tag-icon • tag-icon iptables docker openvpn docker-swarm
确保 Swarm 中节点的 Docker 流量仅通过 VPN 连接

我在 Docker Swarm 集群中有两个节点。其中一个节点在接口上有一个 OpenVPN 客户端连接到 VPN 提供商tun0。我的目标是，

  • 分配给此节点的任何服务都仅使用 VPN 连接
  • 无泄漏（即 DNS 或其他流量）
  • 如果 VPN 断开连接，所有流量都会丢失
  • 允许服务发现和连接到 Swarm 中的其他容器

对于 DNS，我添加了一个dns条目，/etc/docker/daemon.json该条目使用只能通过 VPN 访问的 VPN 提供商的 DNS 服务器。

以下是我提出的 iptable 规则：

iptables -I DOCKER-USER 1 -o tun0 -j ACCEPT
iptables -I DOCKER-USER 2 -i tun0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I DOCKER-USER 3 -j DROP

最终的结果DOCKER-USER如下：

Chain DOCKER-USER (1 references)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     all  --  *      tun0    0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     all  --  tun0   *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0

nslookup从运行和打开和关闭 VPN 连接等基本测试来看，curl这些规则似乎有效，但我对 iptables 的经验很少。这是正确的做法吗？

答案1

IPtables 是线性的，它从上到下读取规则，直到到达 ACCEPT、REJECT 或 DROP 目标，然后停止读取规则。在您的例子中，您希望将其iptables -I DOCKER-USER -j DROP作为链中的最后一条规则，否则每个数据包都将被丢弃。此外，末尾不需要 RETURN 规则，因为 IPtables 一旦到达其上方的 DROP 规则就会停止读取规则。带有 tun0 的那些 IPtables 规则看起来不错，但请确保您也有这些规则：

iptables -t filter -I INPUT 1 -i tun0 -j DOCKER-USER
iptables -t filter -I OUTPUT 2 -o tun0 -j DOCKER-USER

为了获得良好的实践，请确保接受所有环回流量，这些流量永远不会到达互联网，也不会离开机器：

iptables -t filter -I INPUT 3 -i tun0 -j ACCEPT

让我们逐一了解您的要求：

  1. 分配给此节点的任何服务都仅使用 VPN 连接

您不会使用 IPtables 来执行此操作。在服务器上运行以下命令：

ip route add default via ${LOCAL_VPN_IP}

我认为 OpenVPN 通常使用 10.8.0.0/16，因此默认网关可能是 10.8.0.1 或类似的。IProute2（ip 命令）内置于内核中，就像 IPtables 一样。

  1. 无泄漏（即 DNS 或其他流量）

您应该首先通过将其放入 OpenVPN 的服务器配置中来重定向通过 VPN 的所有流量：

push "redirect-gateway autolocal"

这使得客户端将所有流量都通过 VPN，甚至 DNS 等。如果 OpenVPN 服务器出现故障，客户端上的互联网将停止工作。

  1. 如果 VPN 断开连接，所有流量都会丢失

参见步骤 2

  1. 允许服务发现和连接到 Swarm 中的其他容器

我相信 OpenVPN 默认会这样做。我能够从一个客户端 ping/arp 到 OpenVPN 服务器上的其他客户端。您肯定能够访问其他客户端上的服务。

我希望这回答了你的问题！

相关内容