Docker与iptables 只允许特定ip访问Docker的服务 通过iptables限制docker容器端口

怎样只允许特定ip访问Docker的服务?
通过iptables限制docker容器端口

方法一:

Docker与iptables (在DOCKER-USER链中处理)
Docker至少会在iptables规则中自动安装两个新链,一个是DOCKER,一个是DOCKER-USER,可以通过如下方式查看
iptables -S -t nat 查看DOCKER链规则
iptables -S 查看DOCKER-USER链规则
随着docker版本不同,可能还会有其他链,但一般来说,我们应该只修改DOCKER-USER链即可。
如果想要对docker端口做访问限制,可以参考如下规则:

#只允许192.168.1.1访问docker的服务,其中ext_if是你机器上的实际网卡名
iptables -I DOCKER-USER -i ext_if ! -s 192.168.1.1 -j DROP

#只允许网段192.168.1.0/24
iptables -I DOCKER-USER -i ext_if ! -s 192.168.1.0/24 -j DROP

#只允许ip范围
iptables -I DOCKER-USER -m iprange -i ext_if ! --src-range 192.168.1.1-192.168.1.3 -j DROP

原文链接:
Docker and iptables
https://docs.docker.com/network/iptables/

实战
用如下方式添加多个IP
通过 iptables 规则 对 docker端口 访问 添加 多个IP 白名单,白名单以外的IP都是drop

cat << "EOF" > /usr/local/shell/add-iptables.sh
#!/bin/bash
type -P ipset >/dev/null 2>&1 || yum install ipset -y
iptables -F DOCKER-USER
sleep 1
ipset destroy white_docker_ports
ipset create -exist white_docker_ports hash:net family inet hashsize 1024 maxelem 100000 timeout 0 comment
ipset add -exist white_docker_ports 192.168.1.100 timeout 0 comment "server01"
ipset add -exist white_docker_ports 192.168.1.102 timeout 0 comment "server02"
iptables -I DOCKER-USER  -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A DOCKER-USER -i eth0 -p tcp -m set ! --match-set white_docker_ports src -m comment --comment "default whitelist for docker ports" -j DROP
iptables -A DOCKER-USER -j RETURN
EOF
bash /usr/local/shell/add-iptables.sh
#&#x5982;&#x679C;&#x9700;&#x8981;&#x52A0;INPUT&#x76F8;&#x5173;&#x7684;iptables&#x89C4;&#x5219;&#xFF0C;&#x8BF7;&#x8054;&#x7CFB;&#x7B14;&#x8005;

方法二:(笔者未证实)

Docker&#x52A0;&#x5165;&#x81EA;&#x5B9A;&#x4E49;iptables&#x89C4;&#x5219;&#x94FE;&#xFF08;&#x65B0;&#x5EFA;&#x4E00;&#x4E2A;&#x94FE;&#x52A0;&#x5728;FORWARD&#x4E2D;&#x8FDB;&#x884C;&#x5904;&#x7406;&#xFF09;
https://www.cnblogs.com/jiftle/p/13821394.html

方法三:(笔者未证实)

iptables&#x7981;&#x7528;docker&#x66B4;&#x9732;&#x7684;&#x7AEF;&#x53E3;&#xFF08;&#x5728;nat&#x8868;&#x7684;DOCKER&#x94FE;&#x4E2D;&#x5904;&#x7406;&#xFF09;
https://blog.csdn.net/u010544187/article/details/86698201

方法四:(可以用,感觉不正规或有潜在风险)

docker &#x4F1A;&#x5728;iptables&#x4E0A;&#x52A0;&#x4E0A;&#x81EA;&#x5DF1;&#x7684;&#x8F6C;&#x53D1;&#x89C4;&#x5219;&#xFF0C;&#x5982;&#x679C;&#x76F4;&#x63A5;&#x5728;input&#x94FE;&#x4E0A;&#x9650;&#x5236;&#x7AEF;&#x53E3;&#x662F;&#x6CA1;&#x6709;&#x6548;&#x679C;&#x7684;&#x3002;&#x8FD9;&#x5C31;&#x9700;&#x8981;&#x9650;&#x5236;docker&#x7684;&#x8F6C;&#x53D1;&#x94FE;&#x4E0A;&#x7684;DOCKER&#x8868;&#x3002;
&#x67E5;&#x8BE2;DOCKER&#x8868;&#x5E76;&#x663E;&#x793A;&#x89C4;&#x5219;&#x7F16;&#x53F7;
iptables -L DOCKER -n --line-number
&#x4FEE;&#x6539;&#x5BF9;&#x5E94;&#x7F16;&#x53F7;&#x7684;iptables &#x89C4;&#x5219;&#xFF0C;&#x8FD9;&#x91CC;&#x6DFB;&#x52A0;&#x4E86;&#x5141;&#x8BB8;&#x8BBF;&#x95EE;ip&#x7684;&#x9650;&#x5236;
iptables -R DOCKER 5 -p tcp -m tcp -s 192.168.1.0/24 --dport 3000 -j ACCEPT

Original: https://www.cnblogs.com/faberbeta/p/16331841.html
Author: 快乐嘉年华
Title: Docker与iptables 只允许特定ip访问Docker的服务 通过iptables限制docker容器端口

原创文章受到原创版权保护。转载请注明出处:https://www.johngo689.com/534439/

转载文章受原作者版权保护。转载请注明原作者出处!

(0)

大家都在看

亲爱的 Coder【最近整理,可免费获取】👉 最新必读书单  | 👏 面试题下载  | 🌎 免费的AI知识星球