docker 禁止修改iptables_理解 Docker 网络(一) -- Docker 对宿主机网络环境的影响

最新推荐文章于 2024-04-23 22:50:16 发布
最新推荐文章于 2024-04-23 22:50:16 发布
阅读量803 收藏 3
点赞数
文章标签： docker 禁止修改iptables docker 网络 宿主机能ping通docker容器但是访问不了网页

946d585264f059131c8f05b49570d9c1.png

简介

通过 Docker 容器可以实现文件系统，网络和内核的隔离。 Docker 网络是使用 Docker 的一个很重要的知识点.。在不了解 Docker 网络的情况下使用 Docker 部署应用可能会出现 Docker 容器跨过宿主机防火墙(iptables)的限制直接与取得外网访问权的情况.。在这篇文章中将会分析安装 Docker 对宿主机网络设备和 iptables 两个重要的网络环境的影响。并会分析何为 Docker 容器网络的隔离性， 如何通过控制宿主机 iptables 来控制 Docker 容器的网络访问权限。

跨越宿主机防火墙示例

首先在宿主机上设置一个防火墙，将 INPUT 链的默认策略设为 DROP

$ iptables -P INPUT DROP

然后执行查看 iptables 的命令

$ iptables-save

可以看到 filter 表的 INPUT 链的默认策略为 DROP

215a937e8a7e8bdd7817cc47c5a4609b.png
INPUT 默认策略设为 DROP

然后 ping 百度, 由于 INPUT 链的默认规则为 DROP ，导致 DNS 服务器返回的解析结果不能正确接受， 所以这里直接 ping 解析出的 ip 地址。

$ ping -c4 14.215.177.39

执行结果为

a8c1781d893bec07ae72bf15104120b1.png
PING 百度 IP

可以看到宿主机在不使用 iptables 手动设置 INPUT 链的情况下已经和外界网络隔绝了。

接着创建一个 Docker 容器并执行 ping -c4 www.baidu.com 的命令

$ docker run --rm debian:stretch-slim bash -c "
echo 'deb http://mirrors.163.com/debian/ stretch main non-free contrib' > /etc/apt/sources.list
&& apt-get update > /dev/null
&& apt-get install -y  inetutils-ping >/dev/null 2>&1
&& ping -c4 www.baidu.com"

afd0f5415f589f4de9d00bcb2ff0bdb4.png
容器中 PING 百度

可以看到能够正确接收 DNS 服务器返回的解析结果,，并且能够成功 ping 通，

这就是所谓的 Docker 容器网络环境和宿主机网络环境互相隔离。接下来就会详解 Docker 是如何操作宿主机的网络设备来实现 Docker 容器和宿主机网络隔离的。

安装 Docker 对宿主机网络环境的影响

在这里需要准备一个全新安装的虚拟机(这里使用的是 debian9 gnome)， 然后对比安装前后宿主机网络环境的变化。

安装前网络环境

网络设备

首先查看安装 Docker 前的网络设备, 输入查看网络设备的命令

$ ip a

a0aad6ef006d62e593360d45c444168a.png
初始网络设备

只有两个网络设备， 一个是主机的回环地址, 一个是主机的网卡。

iptables

接着查看安装 Docker 前的 iptables，输入查看 iptables 的命令

$ iptables-save

然后输出的内容可能为空，也可能是下面的内容

# Generated by iptables-save v1.6.0 on Sat Mar 16 00:29:12 2019
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
# Completed on Sat Mar 16 00:29:12 2019

无论是空还是上述内容，都是代表着 iptables 没有经过修改。

路由表
最后查看安装 Docker 前的路由表，输入查看路由表的命令

$ ip r


输出的内容只有简单的两行

d0ea603209d5052aecc349915e15e986.png

安装后网络环境

这里使用的 Docker 版本是 Docker version 18.09.3

网络设备

使用 ip a 命令查看网络设备

0e0318620c9a8c0302c99715aa49afa2.png
安装 Docker 后的网络设备

可以看到安装后, 网络设备中增加了 docker0 设备。这个新增网络设备的作用将会在后面说到.

iptables

接着还是使用 iptables-save 命令查看 iptables.。显示如下

# Generated by iptables-save v1.6.0 on Sat Mar 16 00:41:26 2019
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [4:237]
:POSTROUTING ACCEPT [4:237]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
COMMIT
# Completed on Sat Mar 16 00:41:26 2019
# Generated by iptables-save v1.6.0 on Sat Mar 16 00:41:26 2019
*filter
:INPUT ACCEPT [7:704]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [8:669]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT
# Completed on Sat Mar 16 00:41:26 2019

可以看到安装 Docker 对 iptables 的 NAT 表和 FILTER 表都作了较大的改动。

NAT 表改动的解析如下：

# DOCKER 链
:DOCKER - [0:0]

# 如果请求的目标地址是本机的地址, 那么将请求转到 DOCKER 链处理
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

# 如果请求的目标地址不匹配 127.0.0.0/8, 并且目标地址属于本机地址, 那么将请求跳转到 DOCKER 链处理
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER

# 对于来自于 172.17.0.0/16 的请求, 目标地址不是 docker0 所在的网段的地址, POSTROUTING 链将会将该请求伪装成宿主机的请求转发到外网
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

# 由 docker0 设备传入的请求 DOCKER 链会返回上一层处理
-A DOCKER -i docker0 -j RETURN
-m addrtype 的解析可以参考 使用netfilter/iptables时经常能在匹配规则中看到-m addrtype --dst-type这样的内容，何解

FILTER 表改动的解析如下：

# DOCKER 链
:DOCKER - [0:0]

# DOCKER-ISOLATION-STAGE-1 链
:DOCKER-ISOLATION-STAGE-1 - [0:0]

# DOCKER-ISOLATION-STAGE-2 链
:DOCKER-ISOLATION-STAGE-2 - [0:0]

# DOCKER-USER 链
:DOCKER-USER - [0:0]

# FORWARD 链的请求跳转到 DOCKER-USER 链处理
-A FORWARD -j DOCKER-USER

# FORWARD 链的请求跳转到 DOCKER-ISOLATION-STAGE-1 链处理
-A FORWARD -j DOCKER-ISOLATION-STAGE-1

# FORWARD 链的请求如果目标是 docker0 所在的网段, 而且已经建立的连接或者和已建立连接相关那么接受请求
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# FORWARD 链请求目标是 docker0 所在的网段, 那么跳转到 DOCKER 链处理
-A FORWARD -o docker0 -j DOCKER

# FORWARD 链的请求来自于 docker0 所在网段, 而且目标网段不是 docker0 所在网段, 那么接收请求.
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT

# FORWARD 链的请求来自于 docker0 所在网段, 而且目标网段也是 docker0 所在网段, 那么接收请求
-A FORWARD -i docker0 -o docker0 -j ACCEPT

# DOCKER-ISOLATION-STAGE-1 链的请求如果来自 docker0 所在网段, 而且目标网段不属于 docker0 所在网段, 那么跳转到 DOCKER-ISOLATION-STAGE-2 处理
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2

# DOCKER-ISOLATION-STAGE-1 链未处理的请求返回到上一层继续处理
-A DOCKER-ISOLATION-STAGE-1 -j RETURN

# DOCKER-ISOLATION-STAGE-2 链的请求如果目标的网段为 docker0 所在网段则丢弃请求
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP

# DOCKER-ISOLATION-STAGE-2 链未处理的请求返回到上一层继续处理
-A DOCKER-ISOLATION-STAGE-2 -j RETURN

# DOCKER-USER 链未处理的请求返回到上一层继续处理
-A DOCKER-USER -j RETURN

一般情况下 iptables 处理请求的流程如下

990d4990b2458331220f4bb6648cdeb4.png
默认 iptables 处理流程
iptables 的处理流程可参考 iptables详解(1): iptables概念

安装 Docker 后 Docker 添加了 DOCKER, DOCKER-USER, DOCKER-ISOLATION-STAGE-1， DOCKER-ISOLATION-STAGE-2 四条链，按照初始化创建的 iptables 可以得出现在处理请求的流程如下

496751e28160901bbd023aa073e4e7df.png
安装 Docker 后 iptables 的处理流程

iptables 的处理流程明显变复杂了。主要是 PREROUTING 链, FORWARD 链和 OUTPUT 链后都追加了 DOCKER 链。

路由表


再次执行 ip r`命令， 查看路由表

142415a87a55518aae7347f15e654af7.png


可以看到增加了将目标地址符合 172.17.0.0/16 的数据包转发到 docker0 网桥的路由项。

详析 Docker 如何跨越主机 iptables

首先执行以下命令：

$ docker run --rm debian:stretch-slim bash -c "
echo 'deb http://mirrors.163.com/debian/ stretch main non-free contrib' > /etc/apt/sources.list
&& apt-get update > /dev/null
&& apt-get install -y net-tools>/dev/null 2>&1
&& ifconfig"

创建一个容器, 并查看容器的网络设备信息

d6a690950d7bcbd7edb9faf2520f9a77.png
Docker 容器网络设备信息

可以看到容器内的 eth0 网卡的 ip 地址信息为 172.17.0.2/16 和宿主机的 docker0 ip 地址 172.17.0.1/16 处于一个网段下。当容器向外网发起请求的时候，首先会将强求发往网关，毫无疑问, 这个网关就是 docker0 网卡。容器的请求通过 docker0 网卡进入到宿主机中，按照上面的 iptables 的处理流程图解析容器 ping http://www.baidu.com 的过程。

由于 DOCKER-USER，DOCKER-ISOLATION-STAGE-1，DOCKER-ISOLATION-STAGE-2 链没有自定义规则所以这里解析一般会跳过这几条链
  1. 请求进入 PREROUTING 链
  2. http://www.baidu.com 的目标 ip 地址不属于宿主机的 ip 地址, 进入 FORWARD 链处理
  3. FORWARD 链的默认规则为抛弃，但是根据规则 -A FORWARD -i docker0 ! -o docker0 -j ACCEPT 由 docker0 接收的请求允许通过, 进入到 POSTROUTING 链。
  4. 根据 POSTROUTING 链的规则 -A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE ，对源地址符合 172.17.0.0/16 模式的请求伪装成宿主机的请求发往外网。
  5. 外网响应通过宿主机网卡进入到 PREROUTING 链处理, 目标地址为 172.17.0.2/16。
  6. 172.17.0.2/16 不属于宿主机的 ip 地址， 进入 FORWARD 链处理
  7. 172.17.0.2/16 的网关是 docker0, 所以目标输出是 docker0, 根据 FORWARD 链的规则 -A FORWARD -o docker0 -j DOCKER，输出到 docker0 的请求会进入到 DOCKER 链处理。
  8. DOCKER 链自定义规则为空, 返回到 FORWARD 继续处理，最终进入到 POSTROUTING.
  9. POSTROUTING 处理后最终从 docker0 输出进入到容器内部。

很明显, 容器的请求没有经过宿主机的 INPUT 链，所以在宿主机的 INPUT 链上做规则是没法限制容器的网络访问的. 需要限制容器网络访问应该对 DOCKER 链动手脚。

接下来我们对这个结论进行验证：

输入下面命令将 DOCKER 链对源地址为 14.215.177.38(百度某个服务器的IP) 的数据包的策略改为 DROP

$ iptables -A DOCKER -s 14.215.177.38 -j DROP

接着输入下面命令，创建容器并向 14.215.177.38 发出 ping 请求。

$ docker run --rm debian:stretch-slim bash -c "
echo 'deb http://mirrors.163.com/debian/ stretch main non-free contrib' > /etc/apt/sources.list
&& apt-get update > /dev/null
&& apt-get install -y  inetutils-ping >/dev/null 2>&1
&& ping -c4 14.215.177.38"

结果是：

88bb3e858ffaddbaf5595c7573c962a1.png
修改 Docker 链后容器内 PING 百度 IP

然而并没有像分析的那样 ping 请求被阻止。也就是说 FORWARD 链上的请求还没有跳转到 DOCKER 链就已经被接受了。观察 iptables 的规则, 应该是 -A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 这条规则导致请求在进入 DOCKER 链之前就已经被接受。这个规则是很模糊的，如果数据包来自于已经建立连接的双方或者和已建立的连接有关则接受。现在删除这条规则，然后在 DOCKER 链的末尾增加通过所有请求的规则， 结合之前添加了的阻止来自 14.215.177.38 的数据包，可以达到只丢弃来自 14.215.177.38 的数据包的目标，依次执行命令

$ iptables -D FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
$ iptables -A DOCKER -j ACCEPT

然后，再次执行

$ docker run --rm debian:stretch-slim bash -c "
echo 'deb http://mirrors.163.com/debian/ stretch main non-free contrib' > /etc/apt/sources.list
&& apt-get update > /dev/null
&& apt-get install -y  inetutils-ping >/dev/null 2>&1
&& ping -c4 14.215.177.38"

现在执行的结果是

1d5524458ccc4224b8c874715c936bba.png
再次修改 DOCKER 链后容器内 PING 百度 IP

这个结果可以印证，除了源于 14.215.177.38 的数据包外，其他的数据包都被接受了。原因有三

  1. http://mirrors.163.com 域名能够正确解析，说明和 DNS 服务器之间的通信没有被阻止
  2. 可以在 http://mirrors.163.com 中正确安装 inetutils-ping 说明和 http://mirrors.163.com 之间的通信没有被阻止
  3. 不能正确向 14.215.177.38 发出 ping 操作, 说明 14.215.177.38 的通信被阻止了

总结

通过上面的分析，可以得出，所谓的 Docker 网络的隔离性只在 INPUT 链，OUTPUT 链中体现。修改 PREROUTING 链，FORWARD 链，POSTROUTING 链都会影响到 Docker 容器的网络环境。要通过 DOCKER 链控制 Docker 容器的访问权限，需要先删除 -A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 这条规则, 因为这条规则的不确定性太大。然后单纯通过 DOCKER 链来控制 Docker 容器的网络访问权限.

整篇文章对 Docker 网络的操作归根结底是对 iptables 的操作，要看懂整篇文章必须要对 Linux 的 iptables 有基本的认识, 会使用 iptables 基本的操作。

下一篇文章将会分析 Docker overlay 网络如何实现跨主机间的容器通信。

参考资料

  • iptables(8) - Linux man page
  • iptables详解(1): iptables概念
  • 使用netfilter/iptables时经常能在匹配规则中看到-m addrtype --dst-type这样的内容，何解
weixin_39789525
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
docker
abjava1的博客
02-05 660
目录 一、云计算的三种服务 1、IaaS（基础设施） 2、PaaS（平台，中间件都准备好了） 3、SaaS（软件） 二、docker理论 1、Docker是什么? 2、Docker容器与虚拟机的区别 2.1 隔离与共享 2.2 性能与损耗 3、Docker的使用场景 4、docker核心概念 4.1镜像 4.2 容器 4.3 仓库 5、CentOS安装Docker的两种方式 6、容器的概念 6.1 什么是容器 6.2 容器的优点 7、为什么镜像如此小 二、安装Do
docker-20.10_install.tar.gz
01-22
1.包含所有离线安装docker的依赖包 2.特别注意，里面含有iptables 3.debian环境的
【博客576】警惕docker本身iptables规则对网络的影响
qq_43684922的博客
01-07 1991
在k8s节点由于某种原因，比如：需要拉起一个docker环境来制作镜像，需要拉起一些不由k8s管理的容器，这些容器需要有网络通信，但是在通信时出现网络不通，比如：将容器的80端口映射到8080去对外暴露，但是实际不通。
docker容器内彻底移除iptables服务的实现方法
最新发布
m0_61230499的博客
04-23 889
容器和宿主机都有防护墙，不仅会增加管理的复杂度，而且很容易出错。不仅如此，在设置防火墙规则给容器做动态端口映射时，还会被容器内的防护墙阻断。所以为了彻底规避这个问题，避免因为容器重启后或者其他进程启动了防火墙，我们直接彻底移除iptables防火墙，就可以防患于未然了。
docker 禁止修改iptables_Docker网络管理
weixin_39589766的博客
11-22 353
容器之间互访docker 0网卡可以理解为一个交换机，负责交互容器之间的信息交互，有几个容器，就会出现几个veth。容器访问外部网络iptables -t nat -A POSTROUTING -s 172.17.0.0/16 -o docker0 -j MASQUERADE外部网络访问容器dockerrun-d-p80:80apacheiptables-tnat-AP...
禁止docker管理iptables，限制外网访问容器
神棍之路
12-23 3398
禁止docker管理防火墙 修改/etc/docker/daemon.json { “iptables”:false } 重启docker INPUT中添加限制端口即可
禁止Docker调用iptables防火墙，使用Firewalld来管理
qq_45631844的博客
02-16 3538
前言 想必大家都会遇到这种情况，当我们把系统的fireawlld防火墙打开，没有放行任何端口号和IP地址。docker映射出来的端口号，外网依旧可以进行访问。这是因为docker启动会自动调用iptables防火墙来作为管理，所以即使我们开启了firewalld防火墙也不起作用。 接下来我们禁用iptables防火墙，使用firealld防火墙来管理 配置过程 修改如下文件 vi /etc/docker/daemon.json { "iptables":false #禁用iptables防火墙 } 重启
zookeeper3.5.8 docker镜像_docker安装MySQL5.8
weixin_39559486的博客
11-22 90
欢迎关注微信公众号：程序员小圈圈转载请标明出处^_^原文首发于：www.zhangruibin.com本文出自于：RebornChang的博客docker安装MySQL5.8下载镜像 docker pull mysql启动 docker run --name mysql -p 3306:3306 -e MYSQL_ROOT_PASSWORD=YourPWD123! -d mysql注意：如果本机安...
解决docker安装完成报:bridge-nf-call-iptables is disabled问题
01-20
centos机器 docker安装完成后，输入docker info命令，报如下警告信息解决方法： 1）警告信息如下： WARNING: bridge-nf-call-iptables is disabled WARNING: bridge-nf-call-ip6tables is disabled 2）解决方法： ...
详解Docker使用Linux iptables 和 Interfaces管理容器网络
01-20
我使用docker至今已有... Docker广泛使用linux iptables和网桥接口，这篇文章是我如何用于创建容器网络的总结，大部分信息来自github上的讨论，演示文稿，以及我自己的测试。文章结尾我会给出我认为非常有用的资料链接
Docker中iptables规则在iptables重启后丢失的完整过程
09-29
主要给大家介绍了关于Docker中iptables规则在iptables重启后丢失的相关资料，文中通过示例代码介绍的非常详细，对大家学习或者使用Docker具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧
详解如何解决docker容器无法通过IP访问宿主机问题
01-10
在使用 docker 的过程中我不幸需要在 docker 容器中访问宿主机的 80 端口, 而这个 80 端口是另外一个容器 8080 端口映射出去的. 当我在容器里通过 docker 的网桥 172.17.0.1 访问宿主机时, 居然发现: curl: (7) ...
docker 禁止修改iptables_深度剖析「应用安全」Docker 安全配置(一)
weixin_39637920的博客
11-30 579
0x00 Docker应用介绍Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的Linux机器上，也可以实现虚拟化，容器是完全使用沙箱机制，相互之间不会有任何接口。一个完整的Docker有以下几个部分组成：Docker Client客户端、Docker Daemon守护进程、Docker Image镜像、Docker Contai...
禁止Docker使用iptables防火墙改为使用Firewalld
weixin_43991475的博客
04-28 2211
docker默认是使用iptables防火墙做安全管理，例如用来映射宿主机端口与docker容器端口。 当我们把系统的fireawlld防火墙打开，没有放行任何端口号和IP地址，但是docker映射出来的端口号，外网依旧可以进行访问。 如果我们不想docker使用iptables改为使用firealld防火墙来管理可以吗？当然可以。 方法 修改daemo.json禁用iptables vi /etc/docker/daemon.json #增加下面的配置，禁用iptables { ".
docker 禁止修改iptables_Docker 遇到的异常和注意点
weixin_39530839的博客
11-27 580
点击上方蓝字关注我们笔者整理的一些使用 docker 的时候，遇到的问题和解决办法遇到的一些异常和解决方法1、删除镜像时出现：Error response from daemon: conflict:unable todelete95219df55354 (must beforced) - image isreferenced in multiple repositories可...
更改dockers的host文件中的ip，当主机ip改变时，dockers无法启动。
鹏神丶明月天
08-23 1595
docker run -d --name [镜像名称] --add-host=[镜像名称]:{ip} --add-host=[镜像名称]:{ip} -p 8848:8848 -p 8080:8080 -p 9200:9200 -p 9300:9300 -p 9201:9201 -p 8088:8088 -e "IWITI_RUNUI=1" i/e:v1.2。方法一：如果你换了个wifi的话，需要改动的地方有两个：1.host文件改一下。查看当前局域网ip：win+r 输入ipconfig就可以看到的。
docker中iptables不生效的信息小纠正。
anzhuangguai的专栏
10-08 747
这种情况是因为docker所使用的iptables没有启动。这个firewalld没有启动。发现ubuntu里的服务。发现ubuntu里没有。
宿主机ip发生变更，docker应用无法访问的问题处理
weixin_43650680的博客
05-22 898
docker network create 网络名称。
禁止Docker容器访问外网
weixin_38950342的博客
04-16 4917
禁止Docker容器访问外网——用于实现类似于虚拟机的Host-only模式 假设docker的虚拟网卡docker0的网段是192.168.123.0/24，通过iptables向DOCKER-USER链添加规则： iptables --insert DOCKER-USER -s 192.168.123.0/24 -j REJECT iptables --insert DOCKER-USER -s 192.168.123.0/24 -m state --state RELATED,ESTABLISHED
docker 禁止修改iptables_【应用安全】Docker 安全配置(一)
06-11
1. 查看当前iptables配置是否被Docker修改过，可以使用命令 `sudo iptables -L DOCKER-USER` 进行查看。 2. 如果发现iptables的配置被Docker修改过，可以在 `/etc/docker/daemon.json` 文件中添加如下配置： ``` {...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值