Question

在转发端口的同时限制对单个泊坞广告容器的互联网访问的最佳方法是什么？

我目前的做法是这样的：

sudo docker network create --internal --subnet 10.1.1.0/24 no-internet
sudo docker run --name gitlab -d -p 80:80 -p 822:22 --restart always gitlab/gitlab-ce
sudo docker network connect no-internet gitlab
sudo docker network disconnect bridge gitlab

问题是，如果我重新启动系统，则不再转发端口：

重启之前

sudo docker ps：

CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS                             PORTS                                              NAMES
2d2a062744ec        gitlab/gitlab-ce    "/assets/wrapper"   13 seconds ago      Up 13 seconds (health: starting)   0.0.0.0:80->80/tcp, 443/tcp, 0.0.0.0:822->22/tcp   gitlab

重启后

sudo docker ps：

CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS                   PORTS               NAMES
2d2a062744ec        gitlab/gitlab-ce    "/assets/wrapper"   12 minutes ago      Up 2 minutes (healthy)                       gitlab

Answer 1

因此，如果我正确理解您的场景，您希望避免将您的主机网络共享到您的gitlab容器，以确保gitlab无法连接到互联网。同时，您希望共享主机的网络以将容器端口绑定到主机系统。它不起作用，但以下可能是一种可接受的解决方法：共享同一内部网络的docker容器可以连接到同一网络上其他容器的公开/发布端口。

您可以采用以下方法：

在gitlab容器前面运行反向代理
反向代理是您内部网络的成员和默认桥接网络（包括主机网络）
这使得反向代理能够绑定到主机端口并将请求转发到gitlab容器，而gitlab仍然无法访问互联网

我很快将这个例子放在一起，希望能让你开始：

docker network create --internal --subnet 10.1.1.0/24 no-internet

docker network create internet

docker-compose.yml：

version: '2'

services:
  whoami:
    image: jwilder/whoami
    container_name: whoami
    networks:
      - no-internet

  proxy:
    image: nginx:1.13-alpine 
    container_name: proxy
    networks:
      - internet
      - no-internet
    volumes:
      - ./vhost.conf:/etc/nginx/conf.d/default.conf
    ports:
      - "80:80"

networks:
  internet:
    external:
      name: internet
  no-internet:
    external:
      name: no-internet

vhost.conf：

upstream whoami {
    server whoami:8000;
}

server {
    server_name localhost;
    listen 80;
    location / {
        proxy_pass http://whoami;
    }
}

请注意，实际上不需要上面提到的internet网络，因为无论如何，docker容器默认共享主机网络。它只是让事情更清晰。

在上面描述的示例中，打开http://localhost/，您将看到whoami容器的响应，whoami容器本身无法连接到互联网。

Answer 2

您还可以使用internal:true禁用Internet连接：

networks:
  yournetwork:
     internal: true

限制对Docker容器的Internet访问？

2 个答案: