【实战】禁止 Docker 容器访问互联网（外网）

小渣渣

需求：使用 Docker 容器搭建了一个私有家庭相册系统，仅限于在家庭局域网访问和查看，由于 Docker 镜像是有第三方开发者开发，并不了解安全状况，不知道是否会产生隐私泄露，为了更好的解决此问题，想通过禁止 Docker 容器访问互联网（外网）的方式给隐私增加一份保障。

【实战】CentOS 7 禁止某 IP 访问服务器
https://www.itsvse.com/thread-10264-1-1.html

iptables防火墙 只允许某IP访问某端口、访问特定网站
https://www.itsvse.com/thread-2535-1-1.html

CentOS7 查看和关闭防火墙
https://www.itsvse.com/thread-7771-1-1.html

本文使用的是 CentOS7 系统，Docker 版本：20.10.20，使用 nginx 镜像提供测试。

默认允许访问互联网（外网）

新建一个 nginx 容器，容器提供 Web 服务，可以通过 18080 端口访问，容器内部默认是可以访问互联网（外网）的，命令如下：

登录可见。

进入到容器内部，通过 curl 命令请求本站资源，可以正常获取的到，如下图：



禁止 Docker 容器访问互联网（外网）

首先，我们需要通过 docker 新建一个自定义的网络，创建一个虚拟网卡，命令如下：

登录可见。

通过 iptables 对该虚拟网卡设置规则，禁止访问互联网，命令如下：

登录可见。

不管 iptables 服务是否有无，不管防火墙是否开启，通过命令方式添加的 iptables 规则都是立马生效的！！！

注意：此方案，当不同容器加入相同网络的情况下，容器之间也无法互通！！！！

查看 DOCKER-USER 规则，如下图：

登录可见。

再次新建一个 nginx 容器，容器提供 Web 服务，并且通过 18081 端口对外提供服务，容器内部禁止访问互联网（外网），命令如下：

登录可见。

目的我们是达到了，但是，重启服务器后，我们在 iptables 新建的规则会消失，如何让服务器重启后，能够自动加载我们自定义的规则呢？

iptables-save命令用于将linux内核中的iptables表导出到标准输出设备商，通常，使用shell中I/O重定向功能将其输出保存到指定文件中。

保存现有 iptables 规则

登录可见。

在开机自启动添加还原 iptables 规则，开机自启文件为 /etc/rc.d/rc.local，编辑该文件，在最后面加上如下命令：

登录可见。

最后，添加执行权限，命令如下：

登录可见。

设置完成后，即使服务器重启，iptables 规则依旧生效。

禁止 Docker 里的所有容器访问互联网（外网），未测试，命令如下：

登录可见。

（完）

飞鱼

学习一下

小渣渣

案例如下：

【实战】软路由搭建 Gitea 私有 Git 仓库
https://www.itsvse.com/thread-10403-1-1.html

wuzehu

这个功能很重要，过来学习下

xrain

感谢分享，学习了。