Điểm:0

Docker và Iptables

lá cờ cn

Tôi đã cài đặt một số bộ chứa docker trên máy chủ của mình. Tất cả các vùng chứa đều nằm trong cùng một mạng docker và về cơ bản, cấu trúc là mọi vùng chứa nằm sau vùng chứa proxy ngược nginxproxymanager.

Cho đến nay rất tốt, mọi thứ hoạt động tốt.Vì vậy, tôi đang cố gắng củng cố cấu trúc bằng cách thêm fail2ban, điều mà tôi đã không thể làm cho nó hoạt động. Tôi đang cố gắng hiểu rõ hơn về iptables nhưng tôi không thể làm cho nó hoạt động được. Sau khi khởi động lại docker và kiểm tra tệp iptables (/etc/iptables/iptables.rules), tôi có cái này

# Được to bi iptables-save v1.8.7 vào ThSáu, ngày 29 tháng 10 09:48:00 năm 2021
* tnhiên
: CHP NHN TRƯỚC [82:13454]
:CHP NHN ĐẦU VÀO [71:12758]
:CHP NHN ĐẦU RA [72:4846]
:CHP NHN SAU ĐÓ [858:45979]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-ĐẦU RA! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MT MO
-A POSTROUTING -s 172.19.0.0/16 ! -o br-0aee38841ef3 -j MT MO
-A POSTROUTING -s 172.19.0.2/32 -d 172.19.0.2/32 -p tcp -m tcp --dport 3000 -j MASQUERADE
-A DOCKER -i docker0 -j TRLI
-A DOCKER -i br-0aee38841ef3 -j TRLI
-NGƯỜI ĐẶT CHỖ! -i br-0aee38841ef3 -p tcp -m tcp --dport 3000 -j DNAT --to-destination 172.19.0.2:3000
LÀM
# Hoàn thành vào ThSáu 29/10 09:48:00 2021
# Được to bi iptables-save v1.8.7 vào ThSáu, ngày 29 tháng 10 09:48:00 năm 2021
*lc
:CHP NHN ĐẦU VÀO [98:7750]
:CHP NHN TRƯỚC [0:0]
:CHP NHN ĐẦU RA [77:11194]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A INPUT -s 37.XXX.XXX.XX/32 -j DROP
-A INPUT -j DOCKER-NGƯỜI DÙNG
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate LIÊN QUAN, THÀNH LP -j CHP NHN
-A FORWARD -o docker0 -j DOCKER
-A VPHÍA TRƯỚC -i docker0 ! -o docker0 -j CHP NHN
-A CHUYN ĐI -i docker0 -o docker0 -j CHP NHN
-A FORWARD -o br-0aee38841ef3 -m conntrack --ctstate LIÊN QUAN, THÀNH LP -j CHP NHN
-A PHÍA TRƯỚC -o br-0aee38841ef3 -j DOCKER
-A VPHÍA TRƯỚC -i br-0aee38841ef3 ! -o br-0aee38841ef3 -j CHP NHN
-A VPHÍA TRƯỚC -i br-0aee38841ef3 -o br-0aee38841ef3 -j CHP NHN
-A DOCKER -d 172.19.0.2/32 ! -i br-0aee38841ef3 -o br-0aee38841ef3 -p tcp -m tcp --dport 3000 -j CHP NHN    
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -i br-0aee38841ef3 ! -o br-0aee38841ef3 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -o br-0aee38841ef3 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -s 37.XXX.XXX.XX/32 -j DROP
LÀM
# Hoàn thành vào ThSáu 29/10 09:48:00 2021

Tôi vừa xóa các quy tắc vùng chứa khác, vì chúng giống với khái niệm của quy tắc tôi đã để lại (dport 3000).

br-0aee38841ef3

là cầu nối được tạo khi tôi tạo mạng docker nơi chứa các thùng chứa của tôi.

Như bạn có thể thấy, tôi đã cố gắng thêm quy tắc DROP vào địa chỉ ip công khai của mình (37.XXX.XXX.XX) trong cả chuỗi INPUT và DOCKER-USER, nhưng tôi vẫn có thể điều hướng qua các vùng chứa của mình (tôi có một miền tùy chỉnh mà A bản ghi trỏ đến IP của tôi), vì vậy quy tắc không hoạt động. Tất nhiên iptables được bắt đầu và tải lại với các quy tắc mới, vậy tôi còn thiếu điều gì để cấm IP?

Điểm:0
lá cờ hu

Bạn có thể cần phải:

iptables -A DOCKER-USER -j RETURN

Tôi nghĩ rằng sự kiểm soát đang rơi ra khỏi cuối chuỗi của bạn mà không có quyết định nào.

A.B avatar
lá cờ cl
A.B
Tôi nghĩ điều đó ngược lại: quy tắc này đã được Docker thêm vào và ngăn các quy tắc được thêm vào nó (thay vì được chèn trước nó) hoạt động.

Đăng câu trả lời

Hầu hết mọi người không hiểu rằng việc đặt nhiều câu hỏi sẽ mở ra cơ hội học hỏi và cải thiện mối quan hệ giữa các cá nhân. Ví dụ, trong các nghiên cứu của Alison, mặc dù mọi người có thể nhớ chính xác có bao nhiêu câu hỏi đã được đặt ra trong các cuộc trò chuyện của họ, nhưng họ không trực giác nhận ra mối liên hệ giữa câu hỏi và sự yêu thích. Qua bốn nghiên cứu, trong đó những người tham gia tự tham gia vào các cuộc trò chuyện hoặc đọc bản ghi lại các cuộc trò chuyện của người khác, mọi người có xu hướng không nhận ra rằng việc đặt câu hỏi sẽ ảnh hưởng—hoặc đã ảnh hưởng—mức độ thân thiện giữa những người đối thoại.