我有一种情况要限制负载均衡器网络中容器的互联网访问。例如在下图中
只有container4连接互联网；其他三个只通过container4与外界通信。例如，如果container1需要 smtp 支持，它会将 smtp 请求转发给container4以获取访问权限。
除了container4之外的任何容器都不能直接上网！这应该在 Docker 级别强制执行。
我相信它可以在docker network creation上进行配置，任何人都可以解释如何实现这一点吗？
问问题
37549 次
4 回答
68
如发现here，我得到了这个与docker-compose一起使用。另存为docker-compose.yml：
version: '3'
services:
outgoing-wont-work:
image: alpine
networks:
- no-internet
command: ping -c 3 google.com # will crash
internal-will-work:
image: alpine
networks:
- no-internet
command: ping -c 3 internal-and-external
internal-and-external:
image: alpine
networks:
- no-internet
- internet
command: ping -c 3 google.com
networks:
no-internet:
driver: bridge
internal: true
internet:
driver: bridge
然后运行docker-compose up -d，docker-compose ps几秒钟后会显示如下内容：
Name Command State Ports
----------------------------------------------------------------------------------
dco_inet_internal-and-external_1 ping -c 3 google.com Exit 0
dco_inet_internal-will-work_1 ping -c 3 internal-and-ext ... Exit 0
dco_inet_outgoing-wont-work_1 ping -c 3 google.com Exit 1
于 2018-08-22T09:51:06.907 回答
29
用于访问互联网的网络创建
docker network create --subnet=172.19.0.0/16 互联网
网络创建以阻止互联网访问
docker network create --internal --subnet 10.1.1.0/24 no-internet
如果您想将 docker 容器连接到互联网
docker network connect internet container-name
如果您想阻止互联网访问
docker network connect no-internet container-name
笔记
在内部网络中，我们无法公开端口以连接外部世界，请参阅此问题以获取更多详细信息
于 2017-02-20T04:33:46.717 回答
5
另一种选择是，如果您需要在无法访问 Internet 的情况下公开容器上的端口，但又想让它与其他容器通信，则可以提供虚假的 DNS 配置。不过，这并不是一个完美的解决方案，因为它不会阻止 IP 直接访问外部世界。
docker-compose.yaml
version: '3'
services:
service1:
image: alpine
command: sh -c 'ping service2 -c 1; ping google.com -c 1'
dns: 0.0.0.0
service2:
image: alpine
command: sh -c 'ping service1 -c 1; ping google.com -c 1'
dns: 0.0.0.0
isolated> docker-compose up
Recreating isolated_service1_1 ... done Recreating isolated_service2_1 ... done Attaching to isolated_service2_1, isolated_service1_1
service1_1 | PING service2 (172.18.0.2) 56(84) bytes of data.
service1_1 | 64 bytes from isolated_service2_1.isolated_default (172.18.0.2): icmp_seq=1 ttl=64 time=0.038 ms
service1_1 |
service1_1 | --- service2 ping statistics ---
service1_1 | 1 packets transmitted, 1 received, 0% packet loss, time 0ms
service1_1 | rtt min/avg/max/mdev = 0.038/0.038/0.038/0.000 ms
service2_1 | PING service1 (172.18.0.3) 56(84) bytes of data.
service2_1 | 64 bytes from isolated_service1_1.isolated_default (172.18.0.3): icmp_seq=1 ttl=64 time=0.093 ms
service2_1 |
service2_1 | --- service1 ping statistics ---
service2_1 | 1 packets transmitted, 1 received, 0% packet loss, time 0ms
service2_1 | rtt min/avg/max/mdev = 0.093/0.093/0.093/0.000 ms
service1_1 | ping: google.com: Temporary failure in name resolution
service2_1 | ping: google.com: Temporary failure in name resolution
isolated_service1_1 exited with code 2
isolated_service2_1 exited with code 2
于 2020-04-16T05:34:36.343 回答
3
正如 Bilal 的回答中所述，如果您不需要公开端口，内部网络是一个很好的解决方案。
如果您确实需要公开端口，以下使用 iptables 的解决方案可以满足我的要求：
docker network create --subnet 172.19.0.0/16 no-internet
sudo iptables --insert DOCKER-USER -s 172.19.0.0/16 -j REJECT --reject-with icmp-port-unreachable
sudo iptables --insert DOCKER-USER -s 172.19.0.0/16 -m state --state RELATED,ESTABLISHED -j RETURN
然后加
--network no-internet
当您运行 docker 容器时。例如：
$ docker run -it --network no-internet ubuntu:focal /bin/bash
root@9f2181f79985:/# apt update
Err:1 http://archive.ubuntu.com/ubuntu focal InRelease
Temporary failure resolving 'archive.ubuntu.com'
于 2020-10-21T13:33:17.980 回答