《Docker 從入門到實踐》之容器訪問控制

容器的訪問控制，主要通過 linux 上的iptables防火牆來進行管理和實現。iptables是 linux 上預設的防火牆軟體，在大部分發行版中都自帶。

容器要想訪問外部網路，需要本地系統的**支援。在linux 系統中，檢查**是否開啟。

$sysctl net.ipv4.ip_forward

net.ipv4.ip_forward = 1

如果為 0，說明沒有開啟**，則需要手動開啟。

$sysctl -w net.ipv4.ip_forward=1

如果在啟動 docker 服務的時候設定--ip-forward=true, docker 就會自動設定系統的ip_forward引數為 1。

容器之間相互訪問，需要兩方面的支援。

訪問所有埠

當啟動 docker 服務（即 dockerd）的時候，缺省會新增一條**策略到本地主機 iptables 的 forward 鏈上。策略為通過（accept）還是禁止（drop）取決於配置--icc=true（預設值）還是--icc=false。當然，如果手動指定--iptables=false則不會新增iptables規則。

可見，預設情況下，不同容器之間是允許網路互通的。如果為了安全考慮，可以在/etc/docker/daemon.json檔案中配置來禁止它。

訪問指定埠

在通過-icc=false關閉網路訪問後，還可以通過--link=container_name:alias選項來訪問容器的開放埠。

例如，在啟動 docker 服務時，可以同時使用icc=false --iptables=true引數來關閉允許相互的網路訪問，並讓 docker 可以修改系統中的iptables規則。

此時，系統中的iptables規則可能是類似

$ sudo iptables -nl ...chain forward (policy accept) target prot opt source destination drop all -- 0.0.0.0/0 0.0.0.0/0

...

之後，啟動容器（docker run）時使用--link=container_name:alias選項。docker 會在iptable中為兩個容器分別新增一條accept規則，允許相互訪問開放的埠（取決於dockerfile中的expose指令）。

當新增了--link=container_name:alias選項後，新增了iptables規則。

$ sudo iptables -nl ...chain forward (policy accept) target prot opt source destination accept tcp -- 172.17.0.2 172.17.0.3 tcp spt:80 accept tcp -- 172.17.0.3 172.17.0.2 tcp dpt:80

drop all -- 0.0.0.0/0 0.0.0.0/0

注意：--link=container_name:alias中的container_name目前必須是 docker 分配的名字，或使用--name引數指定的名字。主機名則不會被識別。

《Docker 從入門到實踐》之容器訪問控制

Docker從入門到實踐

筆記 Docker 從入門到實踐 2

Linux從入門到放棄 docker 容器常用命令

《Docker 從入門到實踐》之容器訪問控制

Docker從入門到實踐

筆記 Docker 從入門到實踐 2

Linux從入門到放棄 docker 容器常用命令

相關推薦