阻止 docker 操纵 iptables 规则的缺点是什么？答案

【问题标题】：What are the downsides of preventing docker from manipulating the iptables rules?阻止 docker 操纵 iptables 规则的缺点是什么？
【发布时间】：2021-03-11 09:38:48
【问题描述】：

根据docker docs（强调我的）：

在 Linux 上，Docker 操纵 iptables 规则来提供网络隔离。虽然这是一个实现细节 (...) 您不应该修改 Docker 插入到您的 iptables 策略中的规则...

和

可以在 Docker 引擎的配置文件 /etc/docker/daemon.json 中将 iptables 键设置为 false，但 此选项不适用于大多数用户。不可能完全阻止 Docker 创建 iptables 规则，并且在事后创建它们是极其复杂并且超出了这些说明的范围。将 iptables 设置为 false 很可能破坏 Docker 引擎的容器网络。

文档确实清楚地表明您不应该混淆这些选项，但它们没有提供任何进一步的信息。那么，问题是通过 docker 禁用 iptables 操作的问题到底是什么？这将如何影响跑步：

独立容器？
码头工人撰写？
docker-swarm mode?
kubernetes？

我假设容器互联网连接将通过手动为docker0 设置 NAT 规则来处理，如所述，例如here.

【问题讨论】：

在我看来here 你可以找到很好的解释。它回答了你的问题吗？
谢谢@matt_j，不过我认为如果您也手动为docker0 设置nat，那么“为您的容器设置互联网连接”是可能的。例如。如here 所述（检查“更新”）。但你是对的，我应该在问题中提到这一点。我会编辑它。

标签： docker kubernetes networking docker-compose iptables

【解决方案1】：

我决定回答与 Kubernetes 相关的部分问题。
典型的 Kubernetes 网络设置依赖于符合 Container Network Interface Specification 的第三方工具 (CNI plugins)。您可以找到不同的 Kubernetes 网络选项在Kubernetes networking model 文档中。

Kubernetes 有自己的一组 iptables 规则，由 kube-proxy 管理，用于在 Pod 和服务之间进行各种过滤和 NAT。最重要的链是KUBE-SERVICES、KUBE-SVC-* 和KUBE-SEP-*（参见：Kubernetes networking basics）。

同样重要的是要知道 Kubernetes 不需要使用 docker 默认网桥 (docker0)，因为它使用 CNI 进行网络设置。每个 Kubernetes CNI 插件的工作方式都略有不同，因此最好查看其官方文档中的详细概念。

【讨论】：