禁用从Docker容器访问LAN

我在Docker中使用Ubuntu容器运行Gentoo主机。他们通过Docker自动创建的网桥进行通信。我想丢弃可能来自容器的192.168.0.0/16的所有流量。

$sudo iptables -S

-P INPUT ACCEPT

-P FORWARD ACCEPT

-P OUTPUT ACCEPT

-A FORWARD -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 443 -j ACCEPT

-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A FORWARD -i docker0 ! -o docker0 -j ACCEPT

-A FORWARD -i docker0 -o docker0 -j ACCEPT

$sudo iptables -t nat -S

-P PREROUTING ACCEPT

-P INPUT ACCEPT

-P OUTPUT ACCEPT

-P POSTROUTING ACCEPT

-N DOCKER

-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

-A DOCKER ! -i docker0 -p tcp -m tcp --dport 443 -j DNAT --to-destination 172.17.0.2:443

如果需要提供其他信息,请告诉我

回答:

一种选择是使用docker运行--icc=false,以防止任何容器与其他容器通信,然后您可以通过将容器与链接来使它们彼此通信--link=container_name:alias。但是,这此时不会阻止容器与主机进行通信。

您也可以按照以下规则使用iptables:

iptables -A INPUT -i docker0 -d 192.168.0.0/16 -j DROP

请记住,主机不会因为icmp错误看到丢弃的数据包,因此在大多数情况下REJECT更为合适。

编辑:更正规则以阻止转发到其他主机:

iptables -I FORWARD -i docker0 -d 192.168.0.0/16 -j DROP

以上是 禁用从Docker容器访问LAN 的全部内容, 来源链接: utcz.com/qa/404193.html

回到顶部