Docker：仅限制到本地主机的传出连接，同时允许所有传入连接

Question

我的 Docker 容器中的某些程序正在向 Google Analytics 和其他跟踪软件发出不需​​要的请求，从而共享我的信息。我想阻止所有这些流量，同时仍然能够从外部访问 Docker。

我尝试添加 --network=host ，这工作正常，只允许从容器内部访问本地主机，但也阻止了所有外部传入连接。

有没有办法限制仅与本地主机的传出连接，同时仍然允许传入的外部连接？我只想在特定的 docker 容器上强制执行此操作，而不是在我的整个系统上执行此操作。

如有任何反馈，我们将不胜感激。

Answer 1

我在另一个线程中找到了解决我的问题的有效解决方案：

docker network create --subnet 172.19.0.0/16 no-internet
sudo iptables --insert DOCKER-USER -s 172.19.0.0/16 -j REJECT --reject-with icmp-port-unreachable
sudo iptables --insert DOCKER-USER -s 172.19.0.0/16 -m state --state RELATED,ESTABLISHED -j RETURN

启动 docker 容器时添加：

--network no-internet

此后，我无法从容器内部连接到互联网。但是，我仍然可以从外部访问集装箱端口。