Comment limiter les connexions extérieures à un conteneur docker avec iptables ?

Avec Docker v.17.06, il y a une nouvelle chaîne iptables appelée DOCKER-USER. Celle-ci est destinée à vos règles personnalisées : https://docs.docker.com/network/iptables/

Contrairement à la chaîne DOCKER, il n'est pas réinitialisé lors de la construction/démarrage de conteneurs. Vous pouvez donc ajouter ces lignes à votre configuration iptables/script pour provisionner le serveur avant même d'installer docker et de démarrer les conteneurs :

-N DOCKER
-N DOCKER-ISOLATION
-N DOCKER-USER
-A DOCKER-ISOLATION -j RETURN
-A DOCKER-USER -i eth0 -p tcp -m tcp --dport 3306 -j DROP
-A DOCKER-USER -j RETURN

Maintenant le port pour MySQL est bloqué de l'accès externe (eth0) même si docker ouvre le port pour le monde entier. (Ces règles supposent que votre interface externe est eth0).

Eventuellement, vous devrez nettoyer iptables et redémarrer le service docker, si vous l'avez trop endommagé en essayant de verrouiller le port comme je l'ai fait.

MISE À JOUR : Bien que valable en 2015, cette solution n'est plus la bonne.

La réponse semble se trouver dans la documentation de Docker à l'adresse suivante https://docs.docker.com/articles/networking/#the-world

Les règles de transfert de Docker autorisent par défaut toutes les IP sources externes. Pour n'autoriser qu'une IP ou un réseau spécifique à accéder aux conteneurs, insérez une règle annulée au sommet de la chaîne de filtrage DOCKER. Par exemple, pour restreindre l'accès externe de sorte que seule l'IP source 8.8.8.8 puisse accéder aux conteneurs, la règle suivante peut être ajoutée : iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP

Ce que j'ai fini par faire, c'est.. :

iptables -I DOCKER -i eth0 -s 8.8.8.8 -p tcp --dport 3306 -j ACCEPT
iptables -I DOCKER -i eth0 -s 4.4.4.4 -p tcp --dport 3306 -j ACCEPT
iptables -I DOCKER 3 -i eth0 -p tcp --dport 3306 -j DROP

Je n'ai pas touché à la --iptables o --icc options.

UPDATE : Bien que cette réponse soit toujours valable, la réponse de @SystemParadox qui utilise DOCKER-USER en combinaison avec --ctorigdstport est meilleur.

Voici une solution qui persiste bien entre les redémarrages et qui permet d'affecter les exposée plutôt que le port interno port.

iptables -t mangle -N DOCKER-mysql
iptables -t mangle -A DOCKER-mysql -s 22.33.44.144/32 -j RETURN
iptables -t mangle -A DOCKER-mysql -s 22.33.44.233/32 -j RETURN
iptables -t mangle -A DOCKER-mysql -j DROP
iptables -t mangle -A PREROUTING -i eth0 -p tcp -m tcp --dport 3306 -j DOCKER-mysql

J'ai construit une image Docker qui utilise cette méthode pour gérer automatiquement les iptables pour vous, en utilisant soit des variables d'environnement, soit dynamiquement avec etcd (ou les deux) :

https://hub.docker.com/r/colinmollenhour/confd-firewall/

En m'appuyant sur l'excellente réponse acceptée de @SystemParadox, j'ai voulu prévenir todos le trafic (TCP et UDP) de todos des hôtes externes vers les ports publiés de todos puisque je vais faire du reverse proxying sur les ports des conteneurs auxquels je veux accéder de l'extérieur.

La règle qui m'a permis d'atteindre cet objectif :

iptables -I DOCKER-USER -i eth0 -m conntrack --ctdir ORIGINAL -j DROP

Cela permet d'insérer la règle en haut de la page DOCKER-USER chaîne. Ajustez en conséquence avec le(s) nom(s) réel(s) de votre (vos) interface(s) réseau externe(s), ou les positions souhaitées dans la chaîne (avec -I DOCKER-USER <number> ).

En conntrack module avec ctdir semble être important ici, car j'ai eu quelques problèmes avec les docker-compose d perdent l'accès au monde extérieur avec des variantes que j'ai essayées sans elles. Par exemple : iptables -I DOCKER-USER -i eth0 ! -s 127.0.0.1 -j DROP suggéré par Jeff Geerling dans un article de blog à partir de 2020, elle-même issue de les documents officiels Le système de gestion de l'information a empêché mes conteneurs de communiquer avec des adresses IP externes.