• 时间:
  • 分类: Docker

在docker中运行第三方服务时，通常需要绑定服务端口到本地主机。但使用 -p 参数进行的端口映射，会自动在iptables中建立规则，绕过firewalld，这对于端口级的黑白名单控制管理是很不利的，所以我们需要对iptables进行手动修改。
iptables --list
发现在Chain DOCKER下多出了一条
删除DOCKER链中的1号规则；如果待删除规则不位于第一行，则将数字改为对应行号
iptables -D DOCKER 1

此容器只接受来自地址123.345.456.567的连接请求
iptables -A DOCKER -s 123.345.456.567 -d 172.17.0.2 -p tcp --sport 81 -j ACCEPT
再次进行端口扫描，发现27017端口已经关闭，只有IP为123.234.345.456的主机能够连接。

还有一种更简单的方式。因为docker绕过防火墙的原理是修改了iptables，那不让它修改即可，此方法无需切换默认防火墙。

vim /etc/default/docker
#修改文件，此处设置等同于在创建容器时手动指定iptables=false参数
DOCKER_OPTS="--dns 8.8.8.8 --dns 8.8.4.4 -iptables=false"

vim /etc/docker/daemon.json
{
"iptables": false
}
#此处对更改设置之前创建的容器也有效，编辑后需重启docker服务

标签: none

添加新评论