当docker守护进程启动时,它会向iptables添加一些规则。当所有规则通过`iptables -F`删除时,我必须停止和重新启动docker守护进程以重新创建docker规则。
有没有一种方法可以让docker重新添加它的附加规则?
有没有一种方法可以让docker重新添加它的附加规则?
最佳方法是重新启动您的docker服务,这样它将重新将docker规则添加到iptables中。(在基于deb的系统中: sudo service docker restart
)
但是,如果您只想恢复这些规则而无需重启服务,我已经保存了我的规则,因此您可以检查并调整它以使其适用于您,然后使用sudo iptables-restore ./iptables-docker-ports.backup
加载。
编辑并保存到./iptables-docker-ports.backup
# Generated by iptables-save v1.4.21 on Thu Apr 30 20:48:42 2015
*nat
:PREROUTING ACCEPT [18:1080]
:INPUT ACCEPT [18:1080]
:OUTPUT ACCEPT [22:1550]
:POSTROUTING ACCEPT [22:1550]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.1/32 -d 172.17.0.1/32 -p tcp -m tcp --dport 80 -j MASQUERADE
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 3001 -j DNAT --to-destination 172.17.0.1:80
COMMIT
# Completed on Thu Apr 30 20:48:42 2015
# Generated by iptables-save v1.4.21 on Thu Apr 30 20:48:42 2015
*filter
:INPUT ACCEPT [495:53218]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [480:89217]
:DOCKER - [0:0]
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER -d 172.17.0.1/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 80 -j ACCEPT
COMMIT
# Completed on Thu Apr 30 20:48:42 2015
iptables-apply
应用它。我在规则文件中保持清晰的结构和大量注释以进行文档记录,因此覆盖它不是一个选项。 - Hubro在默认配置下,当Docker以bridge
模式运行时,会(大量)操作iptables
除非你禁用它(然后你需要配置自己的NAT规则)。
默认的网络相关配置可能如下,尽管配置文件/etc/docker/daemon.json
可能不存在(目前无法打印有效配置):
{
"userland-proxy": true,
"iptables": true,
"ip-forward": true,
"ip-masq": true,
"ipv6": false
}
filter
中):-N DOCKER
-N DOCKER-ISOLATION-STAGE-1
-N DOCKER-ISOLATION-STAGE-2
-N DOCKER-USER
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
iptables
rules),并配有简短的说明。如果在Docker守护程序和一些容器正在运行时清除iptables规则,则可能会破坏对现有容器的访问(但可能不会破坏任何内容,有关此事的更多信息请参见下文)。service docker restart
之后,所有默认规则都将被注入到防火墙中(您可以通过运行iptables-save
或iptables -S
,iptables -S -t nat
来检查)。假设您想要保持容器运行,并仅生成缺少的NAT规则。
docker ps
给出了正在运行的容器列表:CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
865569da8d36 nginx "nginx -g 'daemon of…" 17 hours ago Up 17 hours 0.0.0.0:4564->80/tcp, 0.0.0.0:32237->80/tcp jovial_sammet
通过 docker inspect
命令,我们可以获取端口映射信息。
$ docker inspect -f '{{.NetworkSettings.Ports}}' 865569da8d36
map[80/tcp:[{0.0.0.0 4564} {0.0.0.0 32237}]]
$ docker inspect -f '{{.NetworkSettings.IPAddress}}' 865569da8d36
172.17.0.2
$ bash docker_iptables --noop
iptables -A DOCKER -d 172.17.0.2
iptables -t nat -A DOCKER ! -i docker0 -p tcp -m tcp --dport 4564 -j DNAT --to-destination 172.17.0.2:80
iptables -A DOCKER -d 172.17.0.2
iptables -t nat -A DOCKER ! -i docker0 -p tcp -m tcp --dport 32237 -j DNAT --to-destination 172.17.0.2:80
-p
)启动Docker容器时:docker run --rm -d -p 32237:80 -p 4564:80 nginx
Docker还会启动 docker-proxy
。那是什么?
$ netstat -tulpn | grep docker-proxy
tcp 0 0 0.0.0.0:32237 0.0.0.0:* LISTEN 20487/docker-proxy
tcp 0 0 0.0.0.0:4564 0.0.0.0:* LISTEN 20479/docker-proxy
Linux内核不允许路由环回流量,因此无法对源自127.0.0.0/8的数据包应用netfilter NAT规则。docker-proxy
通常被视为解决此类问题的不优雅方法。
当您恢复不带Docker规则的iptables时,容器端口可能仍然可通过docker-proxy
使用。但是这可能会在网络方面带来一些性能问题,因为docker-proxy
不会像内核的netfilter那样快。
ip route del xxx/x
,找出Docker创建的所有虚拟设备,并将它们删除。