Quelles sont les règles iptables appropriées pour l'hôte Docker ?

Je ne peux pas accéder à l'internet depuis l'intérieur des conteneurs (si je mets iptables : false dans le fichier de configuration daemon.json de Docker)

Docker s'appuie sur iptables pour configurer son réseau. Cela inclut des règles NAT pour gérer l'accès vers et depuis le réseau externe, et beaucoup d'autres règles pour configurer l'accès des conteneurs les uns aux autres sur les réseaux de Docker. Par défaut, cet accès est ouvert, mais il existe des options lors de la création de réseaux pour restreindre l'accès extérieur et la communication entre conteneurs. Par conséquent, je ne recommande pas de définir l'option iptables à false dans docker car cela briserait toute cette fonctionnalité comme vous l'avez vu.

Publier un port sur l'hôte autorise implicitement l'accès depuis l'extérieur. Ainsi, l'option la plus simple pour éviter l'accès de l'extérieur est de ne pas publier le port. Vous pouvez publier le port sur une interface spécifique, par ex. 127.0.0.1:8080:80 qui publierait le port 8080 sur l'interface de bouclage de l'hôte ( 127.0.0.1 ) pour se connecter au port 80 d'un conteneur, et cette interface de bouclage n'est pas accessible de l'extérieur. Toutefois, si laisser le port non publié n'est pas une option, il est possible de le faire avec iptables.

Ce que je veux à ce stade, c'est savoir s'il est possible d'utiliser iptables pour bloquer les ports ouverts par Docker et comment

Cela peut être fait en modifiant le DOCKER-USER chaîne de filtration. Vous pouvez trouver des exemples de cela, comme :

$ iptables -I DOCKER-USER -i ext_if ! -s 192.168.1.0/24 -j DROP

à partir des documents suivants : https://docs.docker.com/network/iptables/

Notez que le port est modifié par certaines règles de manipulation qui s'exécutent avant les règles de filtrage, donc si vous voulez filtrer par port, vous devrez utiliser conntrack pour obtenir le port de destination original :

$ iptables -I DOCKER-USER -i eth0 -p tcp \
    -m conntrack --ctorigdstport 8080 -j DROP
$ iptables -I DOCKER-USER -i eth0 -s 10.0.0.0/24 -p tcp \
    -m conntrack --ctorigdstport 8080 -j ACCEPT

Notez qu'il y a une règle par défaut dans DOCKER-USER pour accepter tout, donc vous voudrez insérer des règles au sommet de la chaîne ( -I ) plutôt que de l'ajouter à la fin ( -A ).

Voir : Etapes pour limiter les connexions extérieures au conteneur docker avec iptables ?

Ce que je veux à ce stade, c'est savoir s'il est possible d'utiliser iptables pour bloquer les ports ouverts par Docker et comment (via mangle prerouting peut-être ?).

Après de nombreuses recherches et tests, j'ai découvert que la meilleure (et la plus simple) façon d'exposer uniquement les ports que vous souhaitez et de ne pas exposer les ports de docker est de définir l'IP dans le champ docker-compose.yml vers 127.0.0.1 (à exposer uniquement à l'hôte)

ports:
  - "127.0.0.1:3306:3306"

Vous pouvez ensuite utiliser nginx ou tout autre proxy inverse pour vous exposer à l'extérieur.

Par ici :

• Vous n'avez pas besoin de ajouter les règles iptables DOCKER-USER à chaque fois que vous redémarrez docker
• Le port 3306 est exposé uniquement à l'intérieur de l'hôte
• Docker peut gérer les règles iptables comme il le souhaite.