iptables 如何阻止docker container

jack9981

linux上装了docker； 怎么用防护墙屏蔽其他机器连接docker container,达到如下.
1. 其他机器只能连接本机22端口。 阻止其他所有连接， 包括连接到docker container. 及其他机内虚拟网卡。
2. docker container 网络可以正常使用。
3. 在iptables中设置的规则， 机器重启后还能正常工作。

jack9981

使用下述方法工作不正常。
docker 官方给了这个规则。
iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP
https://docs.docker.com/v1.5/articles/networking/


测试的结果是，外部确实不能连接docker, 但是本机也不正常了:
docker container: https://hub.docker.com/r/dperson/samba; 运行时端口映射 -p 587:587； 通过mailx 发送邮件，relay 设置localhost:587
不增加限制规则时候，工作正常
添加规则(本机ip: 192.168.5.12)： sudo iptables -I DOCKER -i eno16777736 ! -s 192.168.5.12 -j DROP;
发送邮件，显示发送成功，Connecting to 192.168.5.12:587 . . . connected.
但是接收不到邮件。

重启iptable,重启docker; 则之前发的邮件一次性收到。

jack9981

采用下述方法出现错误
docker官方介绍的方法：https://docs.docker.com/v1.5/articles/networking/
$ iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP

采用这个方法，外部确实无法解决docker container， 但是本机工作也不正常。
测试的container: https://hub.docker.com/r/catatnight/postfix/；运行时端口映射-p 587:587
使用mailx客户端发送， relay 设置为localhost:587
不设置规则时，工作正常。
设置规则( 本机ip, 192.168.5.12): sudo iptables -I DOCKER -i eno16777736 ! -s 192.168.5.12 -j DROP;
发送邮件时， 显示连接正常， 发送正常。 但是接收不到发送的邮件。

重启iptables, 重启docker，则之前所有发送的邮件，一次性接收到。

jack9981

采用下述方法出现错误
docker官方介绍的方法：https://docs.docker.com/v1.5/articles/networking/
$ iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP

采用这个方法，外部确实无法解决docker container， 但是本机工作也不正常。
测试的container: https://hub.docker.com/r/catatnight/postfix/；运行时端口映射-p 587:587
使用mailx客户端发送， relay 设置为localhost:587
不设置规则时，工作正常。
设置规则( 本机ip, 192.168.5.12): sudo iptables -I DOCKER -i eno16777736 ! -s 192.168.5.12 -j DROP;
发送邮件时， 显示连接正常， 发送正常。 但是接收不到发送的邮件。

重启iptables, 重启docker，则之前所有发送的邮件，一次性接收到。

jack9981

回复 1# jack9981

采用下述方法出现错误
docker官方介绍的方法：https://docs.docker.com/v1.5/articles/networking/
$ iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP

采用这个方法，外部确实无法解决docker container， 但是本机工作也不正常。
测试的container: https://hub.docker.com/r/catatnight/postfix/；运行时端口映射-p 587:587
使用mailx客户端发送， relay 设置为localhost:587
不设置规则时，工作正常。
设置规则( 本机ip, 192.168.5.12): sudo iptables -I DOCKER -i eno16777736 ! -s 192.168.5.12 -j DROP;
发送邮件时， 显示连接正常， 发送正常。 但是接收不到发送的邮件。

重启iptables, 重启docker，则之前所有发送的邮件，一次性接收到。