linux docker 与 iptables 的关系

我就是我 2021-08-28 02:58 484阅读 0赞

最近，在做一些端口block的bug测试，发现在host主机用iptables直接配置多某个container端口的访问，居然没有生效。百思不得其解，查资料，解决问题。

### 问题发现 ###

使用命令，查看各个rules的处理字节量：

iptables -nvL

发现在`FORWARD`这个chain中对`DOCKER`这个自定义链处理了数据。

![format_png][]

然后在DOCKER这个chain里，却发现没有任何的package和bytes，都是0。非常诡异。

![format_png 1][]

### docker行为 ###

默认情况下，Docker deamon会在启动container的时候向iptables中添加转发的规则。它会创建一个filter chain - DOCKER。

Chain FORWARD (policy DROP)
    target     prot opt source               destination
    DOCKER     all  --  0.0.0.0/0            0.0.0.0/0
    ...
    
    Chain DOCKER (1 references)
    target     prot opt source               destination

同时，docke利用这个规则r向外暴露container的端口。但是，很不幸，这条规则将这个端口暴露给了全世界。  
所以，如果你是在宿主机直接运行docker，同时这个宿主机已经拥有了关于防火墙的一些配置（利用iptables）。那么，可以考虑在创建或者运行container的时候使用`--iptables=false`。

### 示例 ###

现在我们举个例子。如果你想要启动nginx，并将容器的端口80映射到主机端口9090.

docker run --name some-nginx -d -p 9090:80 nginx

这条命令下，docker会将一些映射规则自动的加载到iptables的DOCKER chain中。这里，我发现，docker配置后的转发规则允许了所有的外来ip对这个端口进行访问。可能这并不符合生产要求（测试也有可能会出现一些安全问题）。

### 本地端口暴露 ###

我们可能指向要将端口对本地进行暴露，也就是只允许本地request。当然如果你有需求，需要外接IP进行访问，还要其他的办法。

首先，我们来看下`docker run`命令的说明（[DOC][]）：

--publish , -p      Publish a container’s port(s) to the host
    --publish-all , -P      Publish all exposed ports to random ports

官方给的例子：

$ docker run -p 127.0.0.1:80:8080 ubuntu bash

将docker容器的8080端口绑定到local主机的80端口上。同时docker[用户手册][Link 1]对其进行了详细的说明。（有时间以后在继续完善）  
同时，我们可以暴露容器的80端口，但是并不将其与主机系统相关联。

$ docker run --expose 80 ubuntu bash

这里我们用Nginx进行举例，将80端口绑定到主机的9090端口。

docker run --name some-nginx -d -p 127.0.0.1:9090:80 nginx

我们查看一下iptables的变化：

# BEFORE
    netstat -an | grep 9090
    tcp6       0      0 :::9090                 :::*                    LISTEN
    # AFTER
    netstat -an | grep 9090
    tcp        0      0 127.0.0.1:9090          0.0.0.0:*               LISTEN

这里，我们就映射到了本地的9090端口。而外界的IP并不能访问到我们的container。

### docker对iptables的操作？ ###

首先，我们确定场景：

*  主机服务器可访问网络
 *  在主机内使用docker构建container
 *  主机拥有iptables，并用其进行防火墙的配置  
    之后，我们需要让docker取消对我们系统`iptables`的操作和修改。我们就在启动daemon的时候使用如下的配置：

--iptables=false

对于使用`sysvinit`和`upstart`的系统，我们可以修改`/etc/default/docker`，docker的配置文件。对于systemd：

mkdir /etc/systemd/system/docker.service.d
    cat << EOF > /etc/systemd/system/docker.service.d/noiptables.conf
    [Service]
    ExecStart=
    ExecStart=/usr/bin/docker daemon -H fd:// --iptables=false
    EOF
    systemctl daemon-reload

然后，重启我们的防火墙，同时重启docker daemon。然后我们就能够看到`DOCKER`这个chain以及和其相关的`FORWARD`chain的配置已经没有了。

### 为docker配置iptables ###

如果我们使用的是docker创建的[ethernet bridge][]，命名为'docker0'。我们可以通过以下设置配置`FORWARD`的rules：

# just an example. It implies that your host Ethernet NIC is eth0
    -A FORWARD -i docker0 -o eth0 -j ACCEPT
    -A FORWARD -i eth0 -o docker0 -j ACCEPT

同时，如果你想要暴露一个正在运行的container的TCP端口10000，，这个container需要将这port暴露给任何IP：

docker run --name some-nginx -d -p 10000:80 nginx
    
    netstat -an | grep 10000
    tcp6       0      0 :::10000                :::*                    LISTEN

同时，我们可以将这个规则加入到iptables中，让外来访问可以通过防火墙访问container：

-A INPUT -p tcp -m tcp --dport 10000 -s 0.0.0.0/0 -j ACCEPT

最后，推荐一个docker的项目，可以方便的配置Filewall：[DFWFW][]。

### Centos 7 ###

同时，我们注意到了docker的行为中-p指令暴露端口，是对iptables进行操作。但是centos 7默认是使用firewalld的。查阅资料：

> Note. You need to distinguish between the iptables service and the iptables command. Although firewalld is a replacement for the firewall management provided by iptables service, it still uses the iptables command for dynamic communication with the kernel packet filter (netfilter). So it is only the iptables service that is replaced, not the iptables command. That can be a confusing distinction at first.

在实际使用过程中，没有使用iptables.service，docker的端口转发也是正常的，因为iptables一直都在。docker会创建自己的iptables链，如果firewalld重启，docker创建的链也需要重新创建。

下面是停用firewalld服务，启用iptables-services的脚本：

#停止firewalld服务
    systemctl stop firewalld    
    #禁用firewalld服务
    systemctl mask firewalld
    
    yum install -y iptables
    yum update iptables
    yum install -y iptables-services
    
    systemctl enable iptables.service
    systemctl start iptables.service
    
    #暴露docker swarm需要的端口，如果不使用docker swarm不需要打开端口
    iptables -A INPUT -p tcp --dport 2377 -j ACCEPT
    iptables -A INPUT -p tcp --dport 7946 -j ACCEPT
    iptables -A INPUT -p udp --dport 7946 -j ACCEPT
    iptables -A INPUT -p tcp --dport 4789 -j ACCEPT
    iptables -A INPUT -p udp --dport 4789 -j ACCEPT
    
    service iptables save
    systemctl restart iptables.service
    
    #开启转发
    echo 'net.ipv4.ip_forward=1'> /usr/lib/sysctl.d/00-system.conf
    
    systemctl restart network

或者直接使用Firewall：

sudo firewall-cmd --permanent --zone=trusted --add-interface=docker0
    sudo firewall-cmd --permanent --zone=trusted --add-port=xxxx/tcp#       xxxx改为你希望的端口号
    sudo firewall-cmd --reload

[format_png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8zOTcyMjk5LTQ3M2Q0NTEzNzIzMTFmMzkucG5nP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvOTQ3L2Zvcm1hdC93ZWJw?x-oss-process=image/format,png
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91cGxvYWQtaW1hZ2VzLmppYW5zaHUuaW8vdXBsb2FkX2ltYWdlcy8zOTcyMjk5LTdlYmQ3NTAyYjljYmU3ZTkucG5nP2ltYWdlTW9ncjIvYXV0by1vcmllbnQvc3RyaXB8aW1hZ2VWaWV3Mi8yL3cvODgyL2Zvcm1hdC93ZWJw?x-oss-process=image/format,png
[DOC]: https://link.jianshu.com?t=https%3A%2F%2Fdocs.docker.com%2Fengine%2Freference%2Fcommandline%2Frun%2F%23usage
[Link 1]: https://link.jianshu.com?t=https%3A%2F%2Fdocs.docker.com%2Fnetwork%2Flinks%2F
[ethernet bridge]: https://link.jianshu.com?t=https%3A%2F%2Fdocs.docker.com%2Fnetwork%2F
[DFWFW]: https://link.jianshu.com?t=https%3A%2F%2Fgithub.com%2Firsl%2Fdfwfw