使用 iptables 关闭外部容器与 Internet 的连接

Question

如何使用 iptables 关闭确切的 docker 容器端口（例如 7777）以阻止来自 Internet 的访问。但其他容器应该是可以访问的。

Answer 1

您可以设置iptables规则来阻止端口 7777 上的传入流量

iptables -A INPUT -p tcp --dport 7777 -j REJECT

如果您不希望外部用户获得 ICMP 响应，那么您可以DROP：

iptables -A INPUT -p tcp --dport 7777 -j DROP

Answer 2

假设我们在这里讨论默认 docker 网络 (docker0) 上的容器。

默认情况下，无法从 docker 主机外部访问 docker 容器，但是在启用容器间通信的默认 docker-engine 配置中 (--icc=true)，默认网络上的容器可以看到彼此的端口，因此不应看到其他端口需要任何特殊配置才能访问。

所以答案是，在默认的 docker-engine 安装中，您所描述的内容应该可以正常工作，如果您的配置不同，则有关您正在执行的操作的一些其他详细信息将很有用。