Как защитить postgresql в контейнере докера?

Question

[Александр]

Мне досталось работающее приложение на питоне, которое работает в докере, и отдельно запускается контейнер с базой данных. В docker-compose раздел базы данных, вот так:

db:
    image: postgres:latest
    environment:
      POSTGRES_PASSWORD: postgres
      POSTGRES_USER: postgres
      POSTGRES_DB: databaseapp
    ports:
      - "5400:5432"
    volumes:
      - ./db_data:/var/lib/postgresql/data
    restart: always

Связаться с фрилансером который делал приложение нет возможности, я сейчас это разгребаю. Вижу что база данных светится наружу в интернет, да еще и с дефолтным паролем.

Понятно что поменяют пароль. Но как лучше защитить базу?
Настроить ufw с помощью вот этих костылей? https://github.com/chaifeng/ufw-docker
Или копать iptables для Docker?
Подскажите)

Comments

[Владислав Лысков]

зачем эти костыли, закрой просто доступ порта наружу через нативный iptables

[Владислав Лысков]

да и вообще он по дефолту должен быть закрыт, у тебя просто порт 5400 вместо 5432, сделай как положено, поменяй на 5432 и все будет ок

[nsnoob]

Владислав Лысков, если правильно помню, то внутри контейнера все запросы идут от локалхоста, а у постгреса открыто по нему дефолтом, так что он получается открыт всем кто стучится извне

[Valentin Barbolin]

Если приложение и база на одном сервере, то сделай так
ports:
- "127.0.01:5400:5432"

Answer 1

[Alexey Dmitriev]

Уберите из docker-compose
"ports:
- "5400:5432"
и порт не будет публиковаться наружу, будет доступен только на внутреннем ip адресе вашего контейнера docker.
Для подключения или используйте внутренние имена контейнеров, или создайте отдельную подсеть docker (подсеть по умолчанию не дает выдавать контейнерам статические ip адреса) и переведите оба контейнера на ее использование с выдачей статических ip адресов.

Comments

[Александр]

Спасибо, сработало!

Answer 2

[Алексей Ярков]

база данных светится наружу в интернет

Для чего? Почему просто не выставлять наружу порт?

Comments

[Александр]

Я может неправильно выразился, наружу светится только порт 5400, все верно.

[Алексей Ярков]

Александр, ну так я и спрашиваю: зачем его наружу вытаскивать?

[Виталий Артемьев]

Александр, удали блок ports в docker-compose файле и он не будет смотреть наружу

[Александр]

Виталий Артемьев, Сработало, спасибо)

Answer 3

[Сергей Соловьев]

- SSL/TLS
- Сильный пароль
- Прокси сервер
- Файрвол

Answer 4

[Drno]

Ну если наружу ненадо - заблокируйте внешние входящие с помощью iptables или ufw....

Answer 5

[para_u]

в довесок к прокси
hba config или как его.. у postgres есть настройки, через которые можно определить с каких хостов к нему можно подключаться