Почему Docker игнорирует iptables?

Question

[HoHsi]

Добрый день!
Почему docker-compose игнорирует iptables.

Сейчас iptables выглядит так:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT

# SSH
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT

# Only for load balanse
# Но Docker игнорирует IP адрес и прокидывает порт в открытый мир.
-A INPUT -p tcp -m state --state NEW -m tcp -s 11.22.33.44 --dport 8080 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp -s 11.22.33.44 --dport 9000 -j ACCEPT

-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

Но Docker игнорирует IP адрес (-s 11.22.33.44) и прокидывает порт в открытый мир. Как ему запретить открывать порты для всех, и следовать iptables?

Answer 1

[3vi1_0n3]

Если правила ровно так и записаны, то он не игнорирует, а корректно обрабатывает.
Во-первых, у вас политика по умолчанию ACCEPT. Во-вторых, правила разрешающие
Выставляйте политику по умолчанию DROP или REJECT
iptable -P INPUT REJECT
А потом разрешающие правила.

Comments

[HoHsi]

Простите, не совсем понял куда нужно прописать iptable -P INPUT REJECT, и что значит флаг "P"?

[automatik]

HoHsi: -P задаёт политику по умолчанию для цепочки, в данном примере - это REJECT для цепочки INPUT

[3vi1_0n3]

HoHsi: :INPUT ACCEPT вам надо заменить на :INPUT REJECT

[3vi1_0n3]

HoHsi: И, кстати,
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
уберите и выставляйте политику по умолчанию для цепочки FORWARD

[HoHsi]

3vi1_0n3: :INPUT REJECT ломает конфиг пришлось заменить на :INPUT DROP.

-A FORWARD -j REJECT --reject-with icmp-host-prohibited

убрал, но это не помогло, после рестарта сервиса Docker всеравно восстанавливает себе доступ наружу

[3vi1_0n3]

HoHsi: Покажите, что получилось в итоге

[HoHsi]

3vi1_0n3:

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT

# SSH
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT

# Only for load balanse
# Но Docker игнорирует IP адрес и прокидывает порт в открытый мир.
-A INPUT -p tcp -m state --state NEW -m tcp -s 11.22.33.44 --dport 8080 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp -s 11.22.33.44 --dport 9000 -j ACCEPT

-A INPUT -j REJECT
-A FORWARD -j REJECT
COMMIT

[3vi1_0n3]

HoHsi:

-A INPUT -j REJECT
-A FORWARD -j REJECT

Это можно убрать, с такими политиками по умолчанию они не нужны
11.22.33.44 - это что за адрес?

[HoHsi]

3vi1_0n3: это исковерканный адрес второй машины

[3vi1_0n3]

HoHsi: А в /etc/default/docker есть --iptables=true ?

[HoHsi]

3vi1_0n3: такого файла вообще нет

[3vi1_0n3]

HoHsi: Хм. А на хостовой системе можете выполнить команду iptables-save?

[HoHsi]

3vi1_0n3: да

[3vi1_0n3]

HoHsi: И что выводится?

Answer 2

[MOTORIST]

В файле
/etc/systemd/system/docker.service.d/noiptables.conf

Прописать
[Service]
ExecStart=
ExecStart=/usr/bin/docker daemon -H fd:// --iptables=false

Comments

[selfcloned]

Так лучше не делать. Это может сломать все сетевое взаимодействие между контейнерами.