【发布时间】：2020-12-01 04:23:44
【问题描述】：
是否有任何可能的方法来设置主机防火墙以允许连接仅适用于 Docker 容器使用的网络？
简介
我能够从我的新 Docker 容器连接到操作系统托管的 MySQL 实例的唯一方法是打开端口：
sudo ufw allow 3310
在 Docker 容器中，我可以使用以下方式进行连接：
(Docker container): mysql -u testuser -p -h 172.100.0.1 -P 3310
但是这种方式端口也对互联网开放，我宁愿使用 SSH 使用凭据进行连接。
注意：MySQL bind-address=0.0.0.0 已设置
信息
- 在主机上：
注意：仅显示适用的 Docker 网络信息 - 我的容器使用自定义命名网络 (d-custom-network)
ifconfig
d-custom-network: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 172.100.0.1 netmask 255.255.0.0 broadcast 172.100.255.255
inet6 fe80::42:b8ff:fe7f:c4bf prefixlen 64 scopeid 0x20<link>
ether 02:42:b8:7f:c4:bf txqueuelen 0 (Ethernet)
RX packets 473 bytes 34668 (34.6 KB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 403 bytes 119797 (119.7 KB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
docker0: flags=4099<UP,BROADCAST,MULTICAST> mtu 1500
inet 172.17.0.1 netmask 255.255.0.0 broadcast 172.17.255.255
inet6 fe80::42:13ff:fefc:301f prefixlen 64 scopeid 0x20<link>
ether 02:42:13:fc:30:1f txqueuelen 0 (Ethernet)
RX packets 28509 bytes 1593290 (1.5 MB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 33351 bytes 173437123 (173.4 MB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
-
容器内：
ip addr 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever preferred_lft forever 69: eth0@if70: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default link/ether 02:42:ac:64:00:04 brd ff:ff:ff:ff:ff:ff link-netnsid 0 inet 172.100.0.4/16 brd 172.100.255.255 scope global eth0 valid_lft forever preferred_lft forever -
Docker 网络信息：
docker network ls 8a35ff6a0a88 bridge bridge local 572f80997782 magento2-network-frontend bridge local 4590216456c0 host host local a79a85d3a426 none null local -
Docker 网络检查： 部分内容：
docker network inspect magento2-network-frontend [ { "Name": "glo-magento2.3-network-frontend", "Id": "572f809977826942d1b582c17f2ac67f25f4221ddfe5a2f504ccb12a3aa6c786", "Created": "2020-08-11T12:05:51.988694032Z", "Scope": "local", "Driver": "bridge", "EnableIPv6": false, "IPAM": { "Driver": "default", "Options": null, "Config": [ { "Subnet": "172.100.0.0/16" } ] },
部分 iptables 列表（Docker 目标）-：我在尝试在 MySQL 中连接时从容器内部连接时注意到这些连接信息使用失败登录进行测试
FROM Within container:
ERROR 1045 (28000): Access denied for user 'testuser'@'cpe-172-100-0-4.twcny.res.rr.com'
ping cpe-172-100-0-4.twcny.res.rr.com
PING cpe-172-100-0-4.twcny.res.rr.com (172.100.0.4) 56(84) bytes of data.
64 bytes from 54195d3486eb (172.100.0.4): icmp_seq=1 ttl=64 time=0.063 ms
iptables -L
Chain DOCKER (2 references)
target prot opt source destination
ACCEPT tcp -- anywhere cpe-172-100-0-2.twcny.res.rr.com tcp dpt:6082
ACCEPT tcp -- anywhere cpe-172-100-0-2.twcny.res.rr.com tcp dpt:6081
ACCEPT tcp -- anywhere cpe-172-100-0-3.twcny.res.rr.com tcp dpt:6379
ACCEPT tcp -- anywhere cpe-172-100-0-4.twcny.res.rr.com tcp dpt:http-alt
ACCEPT tcp -- anywhere cpe-172-100-0-5.twcny.res.rr.com tcp dpt:https
ACCEPT tcp -- anywhere cpe-172-100-0-5.twcny.res.rr.com tcp dpt:http
我尝试了什么
我认为我可以使用这里提到的方法：这也是为什么我在我的示例中研究如何确保主机使用的 docker 网络名称（即 ifconfig 输出）我创建了 d-custom-network
要允许访问特定端口，假设端口 3360 仅访问特定网络接口 eth2，然后 您需要指定 allow in on 和网络接口的名称：
$ sudo ufw allow in on eth2 to any port 3306
$ sudo ufw reload
所以我尝试了sudo ufw allow in on d-custom-network to any port 3310
那时我在尝试强制登录失败以测试我连接的位置时注意到 docker cpe-172-100-0-2.twcny.res.rr.com 输出。
我认为我没有正确理解用法，并假设我可以使用内部网络 172.100.0.* 连接我的 docker 容器。
我该怎么办？
【问题讨论】：
-
请提供任何帮助:)
标签： mysql docker docker-compose firewall iptables