限制对Docker容器的Internet访问？

Question

在仍然转发端口的同时限制对单个docker容器的Internet访问的最佳方法是什么？

我目前这样做的方式是这样的:

sudo docker network create --internal --subnet 10.1.1.0/24 no-internet
sudo docker run --name gitlab -d -p 80:80 -p 822:22 --restart always gitlab/gitlab-ce
sudo docker network connect no-internet gitlab
sudo docker network disconnect bridge gitlab

问题是,如果我重新启动系统,端口将不再转发:

sudo docker ps 重启之前:

CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS                             PORTS                                              NAMES
2d2a062744ec        gitlab/gitlab-ce    "/assets/wrapper"   13 seconds ago      Up 13 seconds (health: starting)   0.0.0.0:80->80/tcp, 443/tcp, 0.0.0.0:822->22/tcp   gitlab

sudo docker ps 重启后:

CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS                   PORTS               NAMES
2d2a062744ec        gitlab/gitlab-ce    "/assets/wrapper"   12 minutes ago      Up 2 minutes (healthy)                       gitlab

Answer 1

因此，如果我正确理解您的场景，您会希望避免将主机网络共享到 gitlab 容器以确保 gitlab 无法连接到 Internet。同时您希望共享主机的网络以将容器端口绑定到您的主机系统。它不能那样工作，但以下可能是您可以接受的解决方法：共享同一内部网络的 docker 容器可以连接到同一网络上其他容器的公开/发布端口。

你可以按照这种方法：

• 在 gitlab 容器前运行反向代理
• 反向代理是您的内部网络和默认桥接网络（包括主机网络）的成员
• 这使反向代理能够绑定到主机端口并将请求转发到您的 gitlab 容器，而 gitlab 仍然无法访问互联网

我很快把这个例子放在一起，希望能让你开始：

docker network create --internal --subnet 10.1.1.0/24 no-internet

docker network create internet

docker-compose.yml：

version: '2'

services:
  whoami:
    image: jwilder/whoami
    container_name: whoami
    networks:
      - no-internet

  proxy:
    image: nginx:1.13-alpine 
    container_name: proxy
    networks:
      - internet
      - no-internet
    volumes:
      - ./vhost.conf:/etc/nginx/conf.d/default.conf
    ports:
      - "80:80"

networks:
  internet:
    external:
      name: internet
  no-internet:
    external:
      name: no-internet

vhost.conf：

upstream whoami {
    server whoami:8000;
}

server {
    server_name localhost;
    listen 80;
    location / {
        proxy_pass http://whoami;
    }
}

请注意上面提到的internet网络实际上是不需要的，因为 docker 容器默认共享主机网络。它只是为了让事情更清楚。

在上面描述的示例中，打开http://localhost/您将看到whoami容器的响应，但是whoami容器本身无法连接到互联网。