Шаги для ограничения внешних подключений к Docker-контейнеру с помощью iptables?

Моя цель - ограничить доступ к док-контейнерам всего несколькими публичными IP-адресами. Есть ли простой, повторяемый процесс для достижения моей цели? Понимать только основы iptables при использовании параметров Docker по умолчанию я нахожу очень сложным.

Я хотел бы запустить контейнер, сделать его видимым для общедоступного Интернета, но разрешить соединения только с выбранных хостов. Я ожидал бы установить политику INPUT по умолчанию REJECT, а затем разрешить только подключения от моих хостов. Но мешают правила и цепочки докеров NAT, а мои правила INPUT игнорируются.

Может ли кто-нибудь привести пример того, как достичь моей цели, учитывая следующие предположения?

• Хост публичный IP 80.80.80.80 на eth0
• Хост частный IP 192.168.1.10 на eth1
• docker run -d -p 3306:3306 mysql
• Заблокируйте все соединения с хостом / контейнером 3306, кроме хостов 4.4.4.4 и 8.8.8.8

Я рад привязать контейнер только к локальному IP-адресу, но мне нужны инструкции о том, как правильно настроить правила пересылки iptables, которые выживают в процессе докера и перезапускают хост.

Благодарность!

При работе с правилами брандмауэра докера нужно учитывать две вещи:

1. Чтобы избежать засорения ваших правил докером, используйте DOCKER-USERцепочку
2. Docker выполняет отображение портов в PREROUTINGцепочке natтаблицы. Это происходит раньше filterправил, поэтому --destи --dportувидим внутренний IP и порт контейнера. Чтобы получить доступ к исходному месту назначения, вы можете использовать -m conntrack --ctorigdstport.

Например:

iptables -A DOCKER-USER -i eth0 -s 8.8.8.8 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j ACCEPT
iptables -A DOCKER-USER -i eth0 -s 4.4.4.4 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j ACCEPT
iptables -A DOCKER-USER -i eth0 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j DROP

ПРИМЕЧАНИЕ: без --ctdir ORIGINALэтого это также будет соответствовать ответным пакетам, возвращающимся для соединения от контейнера к порту 3306 на каком-либо другом сервере, что почти наверняка не то, что вы хотите! Вам не нужно это строго, если, как и я, ваше первое правило таково -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT, поскольку оно будет работать со всеми ответными пакетами, но в --ctdir ORIGINALлюбом случае было бы безопаснее его использовать .

В Docker v.17.06 появилась новая цепочка iptables под названием DOCKER-USER. Это для ваших пользовательских правил: https://docs.docker.com/network/iptables/

В отличие от цепочки DOCKER она не сбрасывается при сборке / запуске контейнеров. Таким образом, вы можете добавить эти строки в конфигурационный / сценарий iptables для подготовки сервера еще до установки docker и запуска контейнеров:

-N DOCKER
-N DOCKER-ISOLATION
-N DOCKER-USER
-A DOCKER-ISOLATION -j RETURN
-A DOCKER-USER -i eth0 -p tcp -m tcp --dport 3306 -j DROP
-A DOCKER-USER -j RETURN

Теперь порт для MySQL заблокирован от внешнего доступа (eth0), даже если докер открывает порт для всего мира. (Эти правила предполагают, что ваш внешний интерфейс - eth0.)

В конце концов, вам придется очистить iptables, сначала перезапустить службу докера, если вы слишком много испортили, пытаясь заблокировать порт, как я.

ОБНОВЛЕНИЕ : Действуя в 2015 году, это решение больше не является правильным способом сделать это.

Ответ, кажется, находится в документации Докера по адресу https://docs.docker.com/articles/networking/#the-world.

Правила пересылки Docker разрешают все внешние IP-адреса по умолчанию. Чтобы разрешить доступ к контейнерам только для определенного IP-адреса или сети, вставьте отрицательное правило вверху цепочки фильтров DOCKER. Например, чтобы ограничить внешний доступ, чтобы только контейнеры с IP-адресами 8.8.8.8 могли иметь доступ к контейнерам, можно добавить следующее правило:iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP

То, что я закончил, было:

iptables -I DOCKER -i eth0 -s 8.8.8.8 -p tcp --dport 3306 -j ACCEPT
iptables -I DOCKER -i eth0 -s 4.4.4.4 -p tcp --dport 3306 -j ACCEPT
iptables -I DOCKER 3 -i eth0 -p tcp --dport 3306 -j DROP

Я не трогал --iptablesили --iccварианты.

ОБНОВЛЕНИЕ: Хотя этот ответ остается в силе, ответ @SystemParadox лучше использовать DOCKER-USERв сочетании с --ctorigdstport.

Вот решение, которое хорошо сохраняется между перезапусками и позволяет воздействовать на открытый порт, а не на внутренний порт.

iptables -t mangle -N DOCKER-mysql iptables -t mangle -A DOCKER-mysql -s 22.33.44.144/32 -j RETURN iptables -t mangle -A DOCKER-mysql -s 22.33.44.233/32 -j RETURN iptables -t mangle -A DOCKER-mysql -j DROP iptables -t mangle -A PREROUTING -i eth0 -p tcp -m tcp --dport 3306 -j DOCKER-mysql

Я создал образ Docker, который использует этот метод для автоматического управления iptables для вас, используя либо переменные окружения, либо динамически с etcd (или обоими):

https://hub.docker.com/r/colinmollenhour/confd-firewall/