Почему iptables Не закрывает порт?

Question

[Drno]

ДОброго дня. Пробую закрыть порт iptables из вне, но правило не срабатывает.

Имею сервис на порту 81, в докере. Хочу чтобы через внешний интерфейс(кроме одного IP) порт был закрыт, заходить буду через Localhost

Что делаю -
разрешаю заход на порт со своего IP
iptables -A INPUT -s 188.242.111.111 -p tcp --dport 81 -j ACCEPT

запрещаю заход на этот порт на внешний интерфейс
iptables -A INPUT -i enp2s0 -p tcp --dport 81 -j DROP

вывод iptables -L -n -v

Comments

[Сослан Хлоев]

Попробуйте

iptables -I INPUT 1 ! -s 188.242.111.111/32 -p tcp --dport 81 -j DROP

Answer 1

[Олег Волков]

У докера есть свои таблицы, а вы правите основные. Посмотрите реальную жизнь с помощью iptables-save

Comments

[Drno]

посмотрел,спасибо. вижу там правило от докер. но это не меняет того факта, что если я ломлюсь на входящий внешний порт на сервере он должен блочить вход... раз у него стоит правило DROP

С виртуалками на KVM это чудно работает

[Олег Волков]

Здесь неплохо написано.

[Drno]

Олег Волков, да, уже набрел на это. странно что все остальные не вкурсе)

[Александр Карабанов]

Drno, можно в daemon.json отключить Docker-у способность добавлять правила в фаирвол, только придётся правила для каждого контейнера самому писать, понадобится какая-то автоматизация, а это это не так удобно.

И попробуй перезапустить контейнер через down и up -d и убедись, что порт по прежнему заблокирован для доступа извне, а то Docker может надобавлять разрешающих правил, которы собой перекроют имеющиеся запрещающие если этот нюанс не учтён.

Answer 2

[Dmitriy Grape]

Так просто не делайте expose порта сервиса наружу в вашем docker-сompose файле:

ports:
    - "81"

Сервисы смогут общаться друг с другом, а вот извне этот сервис доступен не будет.

А чтобы самому там что-то делать юзайте docker exec

Comments

[Drno]

мне все таки для теста\проверки надо чтоб он был доступен наружу иногда, но чисто с моего IP

[Dmitriy Grape]

Drno, но ваш IP постоянно меняется

[Drno]

Rag’n’ Code Man, но нет. Не меняется

Answer 3

[Zzzz9]

Мало информации, у тебя интернет на enp2s0 или какой-нибудь pppoe, tun?
посмотреть бы iptables-save и ip add.
На счетчиках 0 и на ACCEPT и на DROP

Answer 4

[Дмитрий]

для того чтобы работать с контейнерами есть таблица DOCKER-USER , в нее правила и добавляйте.
https://docs.docker.com/network/iptables/

Comments

[Drno]

Я пробовал. Почему то не помогает)