2301_76251885的博客

原创 Docker通过iptables限制端口

后续就走到filter链input表，docker间互相访问的话需放行所以就不需要在input里面配置白名单，或者拦截规则。放行外网指定Ip的话，首先走的还是nat链PREROUTING表，然后走docker表的，因为是外网访问，所以跳过第一条规则，后面匹配对应的容器端口进行转发，走到filter链forward表。因为是-i所以插入到foward链头部，所有先执行drop，后执行accept，这样白名单Ip请求进来时，会匹配到第一条规则，则放行，其他Ip请求进来时，匹配到第二条规则，直接拒绝访问。