Các bước để giới hạn các kết nối bên ngoài vào container docker với iptables?

Mục tiêu của tôi là giới hạn quyền truy cập vào các container docker chỉ trong một vài địa chỉ IP công cộng. Có một quá trình đơn giản, lặp lại để thực hiện mục tiêu của tôi? Chỉ hiểu những điều cơ bản về iptables trong khi sử dụng các tùy chọn mặc định của Docker, tôi cảm thấy rất khó khăn.

Tôi muốn chạy một container, làm cho nó hiển thị với Internet công cộng, nhưng chỉ cho phép kết nối từ các máy chủ được chọn. Tôi dự kiến ​​sẽ đặt chính sách INPUT mặc định của RE DỰ ÁN và sau đó chỉ cho phép kết nối từ máy chủ của mình. Nhưng các quy tắc và chuỗi NAT của Docker cản trở và các quy tắc INPUT của tôi bị bỏ qua.

Ai đó có thể cung cấp một ví dụ về cách thực hiện mục tiêu của tôi với các giả định sau đây không?

• Lưu trữ IP công cộng 80,80,80,80 trên eth0
• Lưu trữ IP riêng 192.168.1.10 trên eth1
• docker run -d -p 3306:3306 mysql
• Chặn tất cả kết nối với máy chủ / container 3306 ngoại trừ từ máy chủ 4.4.4.4 và 8.8.8.8

Tôi rất vui khi liên kết vùng chứa chỉ với địa chỉ IP cục bộ nhưng sẽ cần hướng dẫn về cách thiết lập quy tắc chuyển tiếp iptables đúng cách để tồn tại quá trình docker và khởi động lại máy chủ.

Cảm ơn!

Hai điều cần lưu ý khi làm việc với các quy tắc tường lửa của docker:

1. Để tránh các quy tắc của bạn bị chặn bởi docker, hãy sử dụng DOCKER-USERchuỗi
2. Docker thực hiện ánh xạ cổng trong PREROUTINGchuỗi của natbảng. Điều này xảy ra trước các filterquy tắc, vì vậy --destvà --dportsẽ thấy IP và cổng bên trong của container. Để truy cập điểm đến ban đầu, bạn có thể sử dụng -m conntrack --ctorigdstport.

Ví dụ:

iptables -A DOCKER-USER -i eth0 -s 8.8.8.8 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j ACCEPT
iptables -A DOCKER-USER -i eth0 -s 4.4.4.4 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j ACCEPT
iptables -A DOCKER-USER -i eth0 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j DROP

LƯU Ý: Nếu không --ctdir ORIGINAL, điều này cũng sẽ khớp với các gói trả lời trở lại cho một kết nối từ container đến cổng 3306 trên một số máy chủ khác, gần như chắc chắn không phải là điều bạn muốn! Bạn không thực sự cần điều này nếu như tôi, quy tắc đầu tiên của bạn là -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT, vì điều đó sẽ xử lý tất cả các gói trả lời, nhưng --ctdir ORIGINALdù sao vẫn an toàn hơn khi sử dụng .

Với Docker v.17.06, có một chuỗi iptables mới gọi là DOCKER-USER. Cái này dành cho các quy tắc tùy chỉnh của bạn: https://docs.docker.com/network/iptables/

Không giống như chuỗi DOCKER, nó không được thiết lập lại trên các thùng chứa xây dựng / bắt đầu. Vì vậy, bạn có thể thêm các dòng này vào cấu hình / tập lệnh iptables của mình để cung cấp máy chủ ngay cả trước khi cài đặt docker và khởi động các thùng chứa:

-N DOCKER
-N DOCKER-ISOLATION
-N DOCKER-USER
-A DOCKER-ISOLATION -j RETURN
-A DOCKER-USER -i eth0 -p tcp -m tcp --dport 3306 -j DROP
-A DOCKER-USER -j RETURN

Bây giờ cổng cho MySQL bị chặn khỏi truy cập bên ngoài (eth0) thậm chí nghĩ rằng docker mở cổng cho thế giới. (Các quy tắc này giả định, giao diện bên ngoài của bạn là eth0.)

Cuối cùng, bạn sẽ phải dọn sạch iptables khởi động lại dịch vụ docker trước, nếu bạn làm hỏng nó quá nhiều khi cố gắng khóa cổng như tôi đã làm.

CẬP NHẬT : Mặc dù có hiệu lực vào năm 2015, giải pháp này không còn là cách đúng đắn để làm điều đó.

Câu trả lời dường như có trong tài liệu của Docker tại https://docs.docker.com/articles/networking/#the-world

Các quy tắc chuyển tiếp của Docker cho phép tất cả các IP nguồn bên ngoài theo mặc định. Để chỉ cho phép một IP hoặc mạng cụ thể truy cập vào các bộ chứa, hãy chèn quy tắc phủ định ở đầu chuỗi bộ lọc DOCKER. Ví dụ: để hạn chế quyền truy cập bên ngoài sao cho chỉ IP nguồn.8.8.8 có thể truy cập vào các bộ chứa, có thể thêm quy tắc sau:iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP

Điều cuối cùng tôi đã làm là:

iptables -I DOCKER -i eth0 -s 8.8.8.8 -p tcp --dport 3306 -j ACCEPT
iptables -I DOCKER -i eth0 -s 4.4.4.4 -p tcp --dport 3306 -j ACCEPT
iptables -I DOCKER 3 -i eth0 -p tcp --dport 3306 -j DROP

Tôi đã không chạm vào --iptableshoặc --icctùy chọn.

CẬP NHẬT: Mặc dù câu trả lời này vẫn còn hiệu lực, nhưng câu trả lời của @SystemParadox sử dụng DOCKER-USERkết hợp với --ctorigdstportlà tốt hơn.

Đây là một giải pháp duy trì tốt giữa khởi động lại và cho phép bạn ảnh hưởng đến cổng tiếp xúc hơn là cổng nội bộ .

iptables -t mangle -N DOCKER-mysql iptables -t mangle -A DOCKER-mysql -s 22.33.44.144/32 -j RETURN iptables -t mangle -A DOCKER-mysql -s 22.33.44.233/32 -j RETURN iptables -t mangle -A DOCKER-mysql -j DROP iptables -t mangle -A PREROUTING -i eth0 -p tcp -m tcp --dport 3306 -j DOCKER-mysql

Tôi đã tạo một hình ảnh Docker sử dụng phương pháp này để tự động quản lý iptables cho bạn, sử dụng biến môi trường hoặc động với etcd (hoặc cả hai):

https://hub.docker.com/r/colinmollenhour/confd-firewall/