使外部服务器（例如DB）仅可从某些Docker Swarm服务访问

Question

我有多个以Docker Swarm模式运行的服务。我也有在Swarm之外运行的数据库，我想只允许从某些服务（最好是在网络级别，例如通过iptables）访问数据库。 Docker Swarm网络有什么办法做到这一点？

如果DB在Swarm内部运行，我将创建覆盖网络并将其分配给那些容器，但是在这种情况下，它是外部的。