昨天写了篇文章是关于docker如何绑定静态的ip，使容器里面的ip是固定的ip地 址….  另外关于绑定ip地址，我们也是可以在docker run的时候用 docker run -p ip:port:port的方式….  他其实就是调用的iptables的方法… 

原文链接是，http://xiaorui.cc/?p=1502   http://xiaorui.cc

docker run -d  -p 9000:9000  redis_cluster 9000  ，生成一个外部9000对应容器端口9000的容器….  


root@ubuntu:~# iptables -t nat -L -n

Chain PREROUTING (policy ACCEPT)

target     prot opt source               destination

DOCKER     all  --  0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

 

Chain INPUT (policy ACCEPT)

target     prot opt source               destination

 

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination

DOCKER     all  --  0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

 

Chain POSTROUTING (policy ACCEPT)

target     prot opt source               destination

MASQUERADE  all  --  172.17.0.0/16        0.0.0.0/0

MASQUERADE  tcp  --  172.17.0.1           172.17.0.1           tcp dpt:9000

 

Chain DOCKER (2 references)

target     prot opt source               destination

DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:9000 to:172.17.0.1:9000


通过上面的信息我们可以确定，他的端口转换不是在docker的服务端实现的，还是借助于linux的iptables策略实现的…. 那么我们就可以自己写DNAT的命令，让外部的端口进行转换…  docker创建了一个名为DOKCER的自定义的链条Chain … …  iptables自定义链条的好处就是可以让防火墙的策略更加的层次化… …  不至于因为构建一大堆的命令后，而看的有些迷糊….   如果是自己手动创建的端口映射，在我们删除docker 容器的时候，他不会把这条规则删除….   因为我们在docker rm 容器id 进行删除的时候，他也会把这容器相关联的映射关系给删掉。

iptables -t nat -A PREROUTING -p tcp –dport 80 -j DNAT –to 172.17.0.1:80


root@ubuntu:~# iptables -S

-P INPUT ACCEPT

-P FORWARD ACCEPT

-P OUTPUT ACCEPT

-N DOCKER

-A FORWARD -o docker0 -j DOCKER

-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A FORWARD -i docker0 ! -o docker0 -j ACCEPT

-A FORWARD -i docker0 -o docker0 -j ACCEPT

-A DOCKER -d 172.17.0.1/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 9000 -j ACCEPT

root@ubuntu:~# iptables -t nat -S

-P PREROUTING ACCEPT

-P INPUT ACCEPT

-P OUTPUT ACCEPT

-P POSTROUTING ACCEPT

-N DOCKER

-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

-A PREROUTING -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.1:80

-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

-A POSTROUTING -s 172.17.0.1/32 -d 172.17.0.1/32 -p tcp -m tcp --dport 9000 -j MASQUERADE

-A DOCKER -p tcp -m tcp --dport 9000 -j DNAT --to-destination 172.17.0.1:9000

我们才别的节点进行测试… ….  结果是OK的 ！

[ruifengyun@devops ~ ]$ curl -Iv 192.168.1.110

* Rebuilt URL to: 192.168.1.110/

* Hostname was NOT found in DNS cache

*   Trying 192.168.1.110...

* Connected to 192.168.1.110 (192.168.1.110) port 80 (#0)

> HEAD / HTTP/1.1

> User-Agent: curl/7.37.1

> Host: 192.168.1.110

> Accept: */*

>

< HTTP/1.1 200 OK

HTTP/1.1 200 OK

* Server nginx/1.0.15 is not blacklisted

< Server: nginx/1.0.15

Server: nginx/1.0.15

< Date: Tue, 19 May 2015 16:16:34 GMT

Date: Tue, 19 May 2015 16:16:34 GMT

< Content-Type: text/html

Content-Type: text/html

< Content-Length: 3698

Content-Length: 3698

< Last-Modified: Tue, 11 Nov 2014 16:27:04 GMT

Last-Modified: Tue, 11 Nov 2014 16:27:04 GMT

< Connection: keep-alive

Connection: keep-alive

< Accept-Ranges: bytes

Accept-Ranges: bytes

 

<

* Connection #0 to host 192.168.1.110 left intact

Dcoker的网络不怎么好理解，咱们一说桥接可能更多的是和源服务器本身一个同等的网 络…. 但是docker的桥接bridge和我们以前的vmware virtualbox的nat是差不多的概念…. 这大家要注意下。  在复杂的环境下，总是来来回回的用iptables脚本有些杂乱，如果有闲心，推荐开发一个公司内部自己的docker管理平台，里面可以组织性的管理 iptables防火墙…