Docker hiển thị một cổng của vùng chứa nhưng hạn chế quyền truy cập mạng

Tôi có một máy chủ A và nó chạy một vùng chứa B (giả sử là máy chủ SSH). Tôi muốn cho phép mọi người thực hiện một số tính toán trên B không truy cập mạng.

sử dụng docker chạy --publish=${MY_PORT}:22 ..., tôi để lộ cổng của container B để cho phép mọi người kết nối vào B.Bằng cách này, mọi người có thể ssh vào B bằng A's ${MY_PORT} Hải cảng. Tuy nhiên, mọi người có thể khởi tạo các kết nối TCP đến các máy chủ khác (ví dụ: 8.8.8.8) nên chúng có thể lợi dụng server A làm jump host để làm việc xấu.

Có thể cách ly mạng của vùng chứa B không? Nghĩa là, chỉ cho phép truy cập vào cổng đã xuất bản và từ chối tất cả lưu lượng truy cập mạng khác. Tôi đang nghĩ về một cái gì đó tương tự như --network=none --publish=${MY_PORT}:22. Có thể đạt được điều này mà không cần chỉnh sửa iptables của Docker không?