Docker端口不受ufw防火墙限制解决方案

官方说明：(ufw) 是 Debian 和 Ubuntu 附带的前端，它允许您管理防火墙规则。 Docker 和 ufw 使用 iptables 的方式使它们彼此不兼容。

当您使用 Docker 发布容器的端口时，进出该容器的流量在通过 ufw 防火墙设置之前会被转移。 Docker 在表中路由容器流量nat，这意味着数据包在到达ufw 使用的链INPUT之前会被转移。OUTPUT数据包在应用防火墙规则之前进行路由，从而有效地忽略您的防火墙配置。

现在的问题是需要ufw防火墙生效，尽可能少的修改docker网络。

下面是解决方法

修改UFW配置文件

修改 UFW 的配置文件 /etc/ufw/after.rules，在最后添加上如下规则：

# BEGIN UFW AND DOCKER
*filter
:ufw-user-forward - [0:0]
:ufw-docker-logging-deny - [0:0]
:DOCKER-USER - [0:0]
-A DOCKER-USER -j ufw-user-forward

-A DOCKER-USER -j RETURN -s 10.0.0.0/8
-A DOCKER-USER -j RETURN -s 172.16.0.0/12
-A DOCKER-USER -j RETURN -s 192.168.0.0/16

-A DOCKER-USER -p udp -m udp --sport 53 --dport 1024:65535 -j RETURN

-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 172.16.0.0/12

-A DOCKER-USER -j RETURN

-A ufw-docker-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW DOCKER BLOCK] "
-A ufw-docker-logging-deny -j DROP

COMMIT
# END UFW AND DOCKER

然后重启UFW，不生效则重启服务器

sudo systemctl restart ufw

现在外部就已经无法访问 Docker 发布出来的任何端口了

假设现在我有如下容器

容器1 端口映射：8081:8080 docker内部IP地址：172.17.0.1

容器2 端口映射：8082:8080 docker内部IP地址：172.17.0.2

容器3 端口映射：8083:8085 docker内部IP地址：172.17.0.3

允许访问端口

ufw route allow 8080

这儿8080是容器内部的端口，而不是映射出的docker端口，执行这个规则后，容器1和容器2都能被外部访问。

ufw route allow 8085

执行这个规则后，只有容器3都能被外部访问。

想要只有容器1被外部访问

ufw route allow from any to 172.17.0.1 port 8080

容器具体的IP地址可以通过下面的命令获得

docker network inspect bridge

可以在输出中找到容器的ip地址，如果使用了自定义网络，而不是默认的bridge网络，将bridge更换为自定义网络名。

参考文档