Как правильно сконфигурировать сеть Docker Compose?

Question

[entermix]

У меня есть 3 контейнера:

Контейнер 1
services:
...
networks:
  default:
    name: api
    external: false

Контейнер 2
services:
...
networks:
  default:
    name: website
    external: false

Контейнер 3
services:
  proxy:
    networks:
      - api
      - website

networks:
  api:
    name: api
    external: true
  website:
    name: website
    external: true

Контейнер 3 сконфигурирован таким образом, чтобы был доступ к остальным - это работает.

Дополнительно нужно сделать так, чтобы с контейнера №2 был доступ к контейнеру №1

Пробую так:

Контейнер 1
services:
...
networks:
  default:
    name: api
    external: false

Контейнер 2
services:
...
  website:
    networks:
      - api
      - default

networks:
  api:
    name: api
    external: true
  default:
    name: website
    external: false

Контейнер 3
services:
  proxy:
  ...
    networks:
      - api
      - website

networks:
  api:
    name: api
    external: true
  website:
    name: website
    external: true

Так не работает. Почему? Ведь принцип тот же, что и в первом примере

Если сделать так:

Контейнер 1
services:
  api:
  ...
    networks:
      - website
      - default

networks:
  website:
    name: website
    external: true
  default:
    name: api
    external: false

Контейнер 2
services:
...

networks:
  default:
    name: website
    external: false

Контейнер 3
services:
  proxy:
    networks:
      - api
      - website

networks:
  api:
    name: api
    external: true
  website:
    name: website
    external: true

Это работает, но теперь контейнер 1 (api) знает про контейнер 2 (website). Можно ли сделать так, чтобы было наоборот?
К примеру, ни контейнер 1, ни контейнер 2 ничего не знает про контейнер 3 и это работает.

Answer 1

[akelsey]

Коротко "нет, нельзя". Вы объединяете общей сетью контейнеры и ожидаете какой-то логики уровня фаервола. Пробуйте изолировать контейнеры на уровне публикации портов на хостовой машине.

Comments

[entermix]

А почему в первом варианте с proxy я могу получить доступ к api/website? А во втором та же логика не работает для website -> api?

[akelsey]

entermix, какая логика то?
В первом случае proxy может видеть website & api т.к. он находится в этих сетях
Во втором случае website имеет доступ к api, к сети api подключены proxy, website и контейнер1 т.е. раз они все в одной сети, значит всё доступно.
(всё же рекомендация - приводить названия всех сервисов, названия сетей не называть именами сервисов, хотя бы api_net, webservice_net etc.)

[entermix]

akelsey,

Во втором случае website имеет доступ к api, к сети api подключены proxy, website и контейнер1 т.е. раз они все в одной сети, значит всё доступно.

В том то и дело, что не доступно. Доступно только в варианте №3