Cách chặn giao tiếp vùng chứa (172.17.0.0/16) ngoại trừ cổng mặc định với iptables

Tôi đang sử dụng docker để chạy container.
Tôi không muốn các vùng chứa có quyền truy cập vào các vùng chứa khác nhưng tôi muốn chúng vẫn có quyền truy cập vào giao tiếp bên ngoài như sử dụng cập nhật apt.

Mạng container là 172.17.0.0/16, nếu tôi chỉ chặn như vậy:

iptables -I FORWARD -i docker0 -d 172.17.0.0/16 -j DROP

Nó hoạt động nhưng sau đó họ không thể sử dụng cập nhật apt, nó không thể tìm thấy nơi để tải xuống vì có thể nó đi ra khỏi cổng.
Vì vậy, tôi muốn cho phép kết nối với cổng (172.17.0.1) vì vậy tôi đã cố gắng cho phép nó như vậy:

iptables -A INPUT -i docker0 -d 172.17.0.1/32 -j CHẤP NHẬN
iptables -A OUTPUT -o docker0 -d 172.17.0.1/32 -j CHẤP NHẬN

Nhưng vấn đề vẫn tồn tại, nó không thể sử dụng cập nhật apt:

Err:1 http://archive.ubuntu.com/ubuntu tiêu điểm InRelease
  Lỗi tạm thời khi giải quyết 'archive.ubuntu.com'

Chỉ khi tôi xóa quy tắc chặn, nó mới hoạt động trở lại:

iptables -I FORWARD -i docker0 -d 172.17.0.0/16 -j DROP

Điều này sẽ cho phép bạn dừng liên lạc giữa các vùng chứa:

Tạo một mạng với ICC bị vô hiệu hóa:

tạo mạng docker -o com.docker.network.bridge.enable_icc=false my_secure_bridge

Thử nghiệm với việc tạo hai vùng chứa:

docker run --name cnt1 --network=my_secure_bridge -it --rm -d alpine
docker run --name cnt2 --network=my_secure_bridge -it --rm -d alpine

docker kiểm tra cnt1 | grep -i 172
    "Cổng": "172.19.0.1",
    "Địa chỉ IP": "172.19.0.2",

docker kiểm tra cnt2 | grep -i 172
    "Cổng": "172.19.0.1",
    "Địa chỉ IP": "172.19.0.3",

exec thành một và kiểm tra:

docker exec -it cnt1 sh

kiểm tra kết nối với thế giới bên ngoài:

/ # ping -c 3 8.8.8.8
PING 8.8.8.8 (8.8.8.8): 56 byte dữ liệu
64 byte từ 8.8.8.8: seq=0 ttl=114 time=0,852 ms
64 byte từ 8.8.8.8: seq=1 ttl=114 time=0,990 ms
64 byte từ 8.8.8.8: seq=2 ttl=114 time=0,808 ms
--- Thống kê ping 8.8.8.8 ---
Truyền 3 gói, nhận 3 gói, mất gói 0%
khứ hồi tối thiểu/trung bình/tối đa = 0,808/0,883/0,990 mili giây

kiểm tra kết nối với vùng chứa khác:

/ # ping -w 5 172.19.0.3
PING 172.19.0.3 (172.19.0.3): 56 byte dữ liệu
--- Thống kê ping 172.19.0.3 ---
Truyền 5 gói, nhận 0 gói, mất gói 100%