Schritte zum Begrenzen der externen Verbindungen zum Docker-Container mit iptables?

Mein Ziel ist es, den Zugriff auf Docker-Container auf einige wenige öffentliche IP-Adressen zu beschränken. Gibt es einen einfachen, wiederholbaren Prozess, um mein Ziel zu erreichen? Wenn ich nur die Grundlagen von iptables verstehe, während ich die Standardoptionen von Docker verwende, finde ich es sehr schwierig.

Ich möchte einen Container ausführen, ihn für das öffentliche Internet sichtbar machen, aber nur Verbindungen von ausgewählten Hosts zulassen. Ich würde erwarten, eine Standard-INPUT-Richtlinie von REJECT festzulegen und dann nur Verbindungen von meinen Hosts zuzulassen. Aber Dockers NAT-Regeln und -Ketten stören und meine INPUT-Regeln werden ignoriert.

Kann jemand ein Beispiel dafür liefern, wie ich mein Ziel erreichen kann, wenn ich die folgenden Annahmen mache?

• Host öffentliche IP 80.80.80.80 auf eth0
• Host private IP 192.168.1.10 auf eth1
• docker run -d -p 3306:3306 mysql
• Alle Verbindungen zu Host / Container 3306 mit Ausnahme der Hosts 4.4.4.4 und 8.8.8.8 blockieren

Ich bin froh, den Container nur an die lokale IP-Adresse zu binden, benötige aber Anweisungen zum Einrichten der iptables-Weiterleitungsregeln, die den Docker-Prozess und den Neustart des Hosts überstehen.

Vielen Dank!

Zwei Dinge, die bei der Arbeit mit den Firewall-Regeln von Docker zu beachten sind:

1. Verwenden Sie die DOCKER-USERKette , um zu vermeiden, dass Ihre Regeln vom Hafenarbeiter überladen werden
2. Docker nimmt das Port-Mapping in der PREROUTINGKette der natTabelle vor. Dies geschieht also vor den filterRegeln --destund --dportzeigt die interne IP und den Port des Containers an. Um auf das ursprüngliche Ziel zuzugreifen, können Sie verwenden -m conntrack --ctorigdstport.

Beispielsweise:

iptables -A DOCKER-USER -i eth0 -s 8.8.8.8 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j ACCEPT
iptables -A DOCKER-USER -i eth0 -s 4.4.4.4 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j ACCEPT
iptables -A DOCKER-USER -i eth0 -p tcp -m conntrack --ctorigdstport 3306 --ctdir ORIGINAL -j DROP

HINWEIS: Ohne --ctdir ORIGINALwürde dies auch den Antwortpaketen entsprechen, die für eine Verbindung vom Container zu Port 3306 auf einem anderen Server zurückkommen, was mit ziemlicher Sicherheit nicht das ist, was Sie wollen! Sie brauchen dies nicht unbedingt, wenn wie ich Ihre erste Regel lautet -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT, da dies für alle Antwortpakete gilt, aber es wäre sicherer, sie trotzdem zu verwenden --ctdir ORIGINAL.

Mit Docker v.17.06 gibt es eine neue iptables-Kette namens DOCKER-USER. Dieser ist für Ihre benutzerdefinierten Regeln bestimmt: https://docs.docker.com/network/iptables/

Anders als die Kette DOCKER wird sie beim Bauen / Starten von Containern nicht zurückgesetzt. Sie können diese Zeilen also zu Ihrer iptables-Konfiguration / Ihrem iptables-Skript hinzufügen, um den Server bereitzustellen, noch bevor Sie docker installieren und die Container starten:

-N DOCKER
-N DOCKER-ISOLATION
-N DOCKER-USER
-A DOCKER-ISOLATION -j RETURN
-A DOCKER-USER -i eth0 -p tcp -m tcp --dport 3306 -j DROP
-A DOCKER-USER -j RETURN

Jetzt ist der Port für MySQL für den externen Zugriff gesperrt (eth0), obwohl Docker den Port für die Welt öffnet. (Diese Regeln setzen voraus, dass Ihre externe Schnittstelle eth0 ist.)

Irgendwann müssen Sie iptables bereinigen und den Docker-Dienst zuerst neu starten, wenn Sie es zu sehr vermasselt haben und versucht haben, den Port wie ich zu sperren.

UPDATE : Diese Lösung ist zwar gültig im Jahr 2015, aber nicht mehr der richtige Weg, dies zu tun.

Die Antwort scheint in der Dokumentation von Docker unter https://docs.docker.com/articles/networking/#the-world zu stehen

Die Weiterleitungsregeln von Docker lassen standardmäßig alle externen Quell-IPs zu. Fügen Sie oben in der DOCKER-Filterkette eine negierte Regel ein, damit nur eine bestimmte IP-Adresse oder ein bestimmtes Netzwerk auf die Container zugreifen kann. Um beispielsweise den externen Zugriff so einzuschränken, dass nur Quell-IP 8.8.8.8 auf die Container zugreifen kann, könnte die folgende Regel hinzugefügt werden:iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP

Am Ende habe ich Folgendes getan:

iptables -I DOCKER -i eth0 -s 8.8.8.8 -p tcp --dport 3306 -j ACCEPT
iptables -I DOCKER -i eth0 -s 4.4.4.4 -p tcp --dport 3306 -j ACCEPT
iptables -I DOCKER 3 -i eth0 -p tcp --dport 3306 -j DROP

Ich habe die Optionen --iptablesoder nicht --iccangerührt.

UPDATE: Während diese Antwort noch gültig ist, ist die Antwort von @SystemParadox DOCKER-USERin Kombination mit --ctorigdstportbesser.

Hier ist eine Lösung, die zwischen Neustarts gut erhalten bleibt und es Ihnen ermöglicht, den exponierten Port und nicht den internen Port zu beeinflussen.

iptables -t mangle -N DOCKER-mysql iptables -t mangle -A DOCKER-mysql -s 22.33.44.144/32 -j RETURN iptables -t mangle -A DOCKER-mysql -s 22.33.44.233/32 -j RETURN iptables -t mangle -A DOCKER-mysql -j DROP iptables -t mangle -A PREROUTING -i eth0 -p tcp -m tcp --dport 3306 -j DOCKER-mysql

Ich habe ein Docker-Image erstellt, das diese Methode verwendet, um die iptables automatisch für Sie zu verwalten, entweder mithilfe von Umgebungsvariablen oder dynamisch mit etcd (oder beiden):

https://hub.docker.com/r/colinmollenhour/confd-firewall/