Docker 容器中使用 iptables 防火墙

在 Docker 容器中使用 iptables 防火墙可以增强容器的安全性，它可以限制容器与外部网络的交互。本文将介绍如何在容器中配置 iptables 防火墙，并提供给您一些相关的技巧和示例代码。

简介

Iptables 是一个用于 Linux 操作系统的工具集，用于配置内核防火墙规则。通过 iptables，您可以控制网络数据包的进出，及其传输到其他位置的方式。在 Docker 中，iptables 可以帮助您保护容器的安全性，阻止未授权的访问并保护应用程序。

Docker 在创建容器时会生成两个接口 eth0 和 lo。其中 eth0 用于容器与主机通信和与外部网络通信，lo 则是用于本地回环（loopback）地址。这两个接口都可以使用 iptables 进行设置和管理。

设置 Docker 容器的 iptables 规则

要设置 Docker 容器的 iptables 规则，您需要在它的网络命名空间中进行操作。可以通过以下步骤完成：

1. 找到容器的PID，例如：docker inspect <container-name> | grep -i pid
2. 进入命名空间：nsenter --net=/var/run/docker/netns/<pid> /bin/bash
3. 使用 iptables 命令设置规则，例如：iptables -A INPUT -s 192.0.2.0/24 -p tcp --dport 80 -j ACCEPT

上述命令将允许来自 192.0.2.0/24 网络的 TCP 数据包通过容器的端口 80。

Docket 容器 iptables 规则示例

以下是一些 Docker 容器 iptables 规则的示例：

• 允许输入和输出本地回环接口

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

• 拒绝外部网络到达容器的输入流量

iptables -P INPUT DROP
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

• 限制对 SSH 的远程访问

iptables -A INPUT -p tcp --dport 22 -s 192.0.2.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

• 同时允许 HTTP 和 HTTPS 流量：

iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

• 使用防火墙控制出站流量：

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -j DROP

上述规则仅说明了一些常见的 iptables 防火墙规则，具体还要根据实际需求进行维护。

总结

通过使用 iptables 配置 Docker 容器的防火墙规则，可以帮助保护容器内的网络安全。本文介绍了如何在容器中设置 iptables 规则，并提供了一些示例代码来帮助您开始使用 iptables。但是，请注意，在添加任何规则之前，请确保您充分了解它们的含义并测试这些规则。

来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6529ebe47d4982a6ebc4d86f