使用iptables管理docker容器做端口映射网络

昨天写了篇文章是关于docker如何绑定静态的ip,使容器里面的ip是固定的ip地址….  另外关于绑定ip地址,我们也是可以在docker run的时候用 docker run -p ip:port:port的方式….  他其实就是调用的iptables的方法…  


原文链接是,http://xiaorui.cc/?p=1502   http://xiaorui.cc

docker run -d  -p 9000:9000  redis_cluster 9000  ,生成一个外部9000对应容器端口9000的容器….  

root@ubuntu:~# iptables -t nat -L -n
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
DOCKER     all  --  0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
DOCKER     all  --  0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  172.17.0.0/16        0.0.0.0/0
MASQUERADE  tcp  --  172.17.0.1           172.17.0.1           tcp dpt:9000

Chain DOCKER (2 references)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:9000 to:172.17.0.1:9000

通过上面的信息我们可以确定,他的端口转换不是在docker的服务端实现的,还是借助于linux的iptables策略实现的…. 那么我们就可以自己写DNAT的命令,让外部的端口进行转换…  docker创建了一个名为DOKCER的自定义的链条Chain … …  iptables自定义链条的好处就是可以让防火墙的策略更加的层次化… … 不至于因为构建一大堆的命令后,而看的有些迷糊…. 如果是自己手动创建的端口映射,在我们删除docker 容器的时候,他不会把这条规则删除…. 因为我们在docker rm 容器id 进行删除的时候,他也会把这容器相关联的映射关系给删掉。

iptables -t nat -A PREROUTING -p tcp –dport 80 -j DNAT –to 172.17.0.1:80

root@ubuntu:~# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N DOCKER
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER -d 172.17.0.1/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 9000 -j ACCEPT
root@ubuntu:~# iptables -t nat -S
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-N DOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A PREROUTING -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.1:80
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.1/32 -d 172.17.0.1/32 -p tcp -m tcp --dport 9000 -j MASQUERADE
-A DOCKER -p tcp -m tcp --dport 9000 -j DNAT --to-destination 172.17.0.1:9000

我们才别的节点进行测试… ….  结果是OK的 !

[ruifengyun@devops ~ ]$ curl -Iv 192.168.1.110
* Rebuilt URL to: 192.168.1.110/
* Hostname was NOT found in DNS cache
*   Trying 192.168.1.110...
* Connected to 192.168.1.110 (192.168.1.110) port 80 (#0)
> HEAD / HTTP/1.1
> User-Agent: curl/7.37.1
> Host: 192.168.1.110
> Accept: */*
>
< HTTP/1.1 200 OK
HTTP/1.1 200 OK
* Server nginx/1.0.15 is not blacklisted
< Server: nginx/1.0.15
Server: nginx/1.0.15
< Date: Tue, 19 May 2015 16:16:34 GMT
Date: Tue, 19 May 2015 16:16:34 GMT
< Content-Type: text/html
Content-Type: text/html
< Content-Length: 3698
Content-Length: 3698
< Last-Modified: Tue, 11 Nov 2014 16:27:04 GMT
Last-Modified: Tue, 11 Nov 2014 16:27:04 GMT
< Connection: keep-alive
Connection: keep-alive
< Accept-Ranges: bytes
Accept-Ranges: bytes

<
* Connection #0 to host 192.168.1.110 left intact

Dcoker的网络不怎么好理解,咱们一说桥接可能更多的是和源服务器本身一个同等的网络…. 但是docker的桥接bridge和我们以前的vmware virtualbox的nat是差不多的概念…. 这大家要注意下。  在复杂的环境下,总是来来回回的用iptables脚本有些杂乱,如果有闲心,推荐开发一个公司内部自己的docker管理平台,里面可以组织性的管理iptables防火墙…



大家觉得文章对你有些作用! 如果想赏钱,可以用微信扫描下面的二维码,感谢!
另外再次标注博客原地址  xiaorui.cc

1 Response

  1. lzzzl@139.com 2016年6月20日 / 下午8:46

    但是发现如果这个IP是自己分配的(不是默认的172.17.0.*),则就会失败。也就是静态IP和动态端口映射不能组合起来使用(我启动容器时用的是–net=none)

发表评论

邮箱地址不会被公开。 必填项已用*标注