前言
Docker 是一个广泛使用的容器化技术，它可以为开发者提供一个独立的运行环境，并且可以快速创建和销毁实例。但是，在 Docker 中暴露出来的服务端口对于网络安全来说，可能存在风险。
为了保护 Docker 中的服务端口，我们可以使用 iptables 来实现端口映射和安全过滤。
本文将介绍如何在 Docker 中使用 iptables 实现端口映射，包括基础知识、操作步骤和示例代码，帮助读者更好地理解和使用 iptables。
基础知识
什么是 iptables
iptables 是 Linux 操作系统中的一款防火墙软件，它可以为网络安全提供基本的过滤和转发功能。它的原理是根据规则表进行流量的匹配和处理，包括接受、拒绝、修改等。
Docker 中的端口映射
在 Docker 中，可以通过端口映射来使容器内的服务通过宿主机的端口对外提供服务。比如，我们可以将容器内部的 80 端口映射到宿主机的 8080 端口，从而让外部网络可以访问容器中的服务。
Docker 中的容器网络
在 Docker 中，每个容器都拥有自己的网络栈，包括 IP 地址、网卡、路由表等。同时，Docker 还支持不同容器之间的网络连接，使得它们可以相互通信和访问。
操作步骤
安装 iptables
在 Debian 和 Ubuntu 中，可以使用以下命令安装 iptables：
sudo apt-get update sudo apt-get install iptables
在 CentOS 和 Fedora 中，可以使用以下命令安装 iptables：
sudo yum update sudo yum install iptables
创建 Docker 容器
为了进行 iptables 端口映射，我们需要先创建一个 Docker 容器，并且暴露出需要映射的服务端口。
docker run -d -p 80:80 --name my-web nginx
这条命令创建了一个名为 my-web 的容器，并且将容器内的 80 端口映射到宿主机的 80 端口。
查看 iptables 规则
接下来，我们可以使用下面的命令查看当前 iptables 规则。
sudo iptables -nL
其中，“-n”参数表示以数字方式显示IP地址和端口，而不是以名称显示；“-L”参数表示显示iptables的规则链。
添加 iptables 规则
为了保证容器内部的服务只能通过映射的端口对外提供服务，我们可以添加一条 iptables 规则，将容器内部的服务端口重定向到宿主机的映射端口。
sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 172.17.0.2:80
其中，“-t nat”参数表示操作 nat 表，即网络地址转换表；“-A”参数表示向某个规则链添加一条规则（即追加规则）；“-p tcp”参数表示只匹配 TCP 协议的数据包；“--dport 8080”参数表示转发目标端口为 8080；“-j DNAT”参数表示将数据包的目标地址重写为指定的目标地址；“--to-destination 172.17.0.2:80”参数表示将数据包的目标地址转发到容器内部的服务地址和端口（即 172.17.0.2:80）。
保存 iptables 规则
为了保证 iptables 规则可以在系统重启后仍然有效，我们可以使用以下命令将当前的 iptables 规则保存到配置文件中。
sudo iptables-save > /etc/iptables/rules.v4
测试端口映射
接下来，我们可以测试一下端口映射是否生效。在浏览器中输入宿主机的 IP 地址和映射端口（即 http://127.0.0.1:8080），应该可以正常访问容器内的服务。
清除 iptables 规则
在测试完成后，我们可以使用以下命令清除 iptables 规则。
sudo iptables -F
其中，“-F”参数表示删除所有规则链中的所有规则。
示例代码
下面是一个示例脚本，它可以自动化创建 Docker 容器，并且在容器中使用 iptables 实现端口映射。你可以根据实际需求修改它。
-- -------------------- ---- ------- ----------- - -- ------ -- ------ --- -- -- ----- ------ ------ ----- - -- -------- -- ---- -------- -- --- -- ---------- -- --- ------- ---- -- ---- ---------------- ------------- - -- -------- -- ---- ------------- - ---------------------- - ------ ---- --------- ---------------------- - -- -------- -- ---- -------- --
总结
通过本文，我们学习了在 Docker 容器中使用 iptables 实现端口映射的基础知识和操作步骤，并且提供了示例代码供读者参考。掌握 iptables 的使用可以让我们更好地保护 Docker 中的服务端口，提升网络安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64ab239648841e989470b197