docker与iptables

iptables介绍

IPTABLES 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器, 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。

安装iptables服务

其实不安装也可以,centos7默认就有iptables,但是没有对应service,不方便保存配置,快速修改配置。
安装iptables
yum install -y iptables
升级iptables
yum update iptables
安装iptables-services
yum install iptables-services -y
开机启动
systemctl enable iptables
systemctl start iptables
CentOS7默认的防火墙不是iptables,而是firewalle.
禁用/停止自带的firewalld服务
停止firewalld服务
systemctl stop firewalld
禁用firewalld服务
systemctl mask firewalld

iptables常见链

这里写图片描述
我们做访问控制的话,主要是input与forward链,ip包进来的时候只会匹配其中一个哦
一般其他机器访问宿主机的时候(或者docker net为host)会进入INPUT链
直接访问docker实例端口的时候(非host模式)会进入forward链

注意,我们允许特定ip访问某端口的时候,注意顺序,先允许再拒绝,不然无效哦,如通过iptables -L -n查看,对应顺序为

ACCEPT     tcp  --  192.168.2.119        10.0.97.5            tcp dpt:27017
DROP       tcp  --  0.0.0.0/0            10.0.97.5            tcp dpt:27017

另外-j REJECT –reject-with icmp-host-prohibited与DROP的作用类似,都会禁止访问宿主机的端口

常见命令

配置文件位置
/etc/sysconfig/iptables
保存规则
service iptables save
查看所有规则
iptables -L -n
查看帮助
iptables –help
查看版本
iptables -V
v1.4.21
保存(针对未安装iptables服务的情况)

iptables-save  > iptablesrule

还原(针对未安装iptables服务的情况)

iptables-restore < iptablesrule

查看INPUT链行号(从1开始)
iptables -L INPUT –line-numbers
删除指定链的第4行规则
iptables -D INPUT 4

增删改
A追加R替换I插入D删除,如果要定位到指定位置进行操作,格式为A/R/I/D INPUT/FORWARD num
我习惯直接改配置文件找到类似-A INPUT -i virbr0 -p udp -m udp –dport 53 -j ACCEPT这些配置,直接修改,然后
systemctl restart iptables

实战只允许指定ip访问某容器端口
iptables -I FORWARD -p tcp –dport 1521 -j DROP
iptables -I FORWARD -p tcp -s 192.168.2.119 –dport 1521 -j ACCEPT
或者
iptables -A FORWARD -p tcp -s 192.168.2.119 –dport 1521 -j ACCEPT
iptables -A FORWARD -p tcp –dport 1521 -j DROP

发布了182 篇原创文章 · 获赞 75 · 访问量 51万+
展开阅读全文

没有更多推荐了,返回首页

©️2019 CSDN 皮肤主题: 编程工作室 设计师: CSDN官方博客

分享到微信朋友圈

×

扫一扫,手机浏览