Ausgehende Verbindungen zu privaten IPs von Docker-Containern blockieren

Question

Einige der Dienste, die wir auf unseren Servern mit Docker ausführen, versuchen, eine Verbindung zu privaten IP-Adressen herzustellen (10.0.0.0/8, 192.0.0.0/16, 172.16.0.0/12 , 100.64.0.0/10).

Dieses Verhalten ist normal, aber unser Serveranbieter erkennt diesen Datenverkehr und sendet uns Warnungen.

Wir möchten nur den ausgehenden Verkehr stoppen, nicht die eingehenden mit iptables.

Dies ist unsere aktuelle Setup:

-A OUTPUT -d 192.168.0.0/16 -m owner --uid-owner `id -u dockeruser` -j REJECT --reject-with icmp-port-unreachable 
-A OUTPUT -d 100.64.0.0/10 -m owner --uid-owner `id -u dockeruser` -j REJECT --reject-with icmp-port-unreachable 
-A OUTPUT -d 172.16.0.0/12 -m owner --uid-owner `id -u dockeruser` -j REJECT --reject-with icmp-port-unreachable 
-A OUTPUT -d 10.0.0.0/8 -m owner --uid-owner `id -u dockeruser` -j REJECT --reject-with icmp-port-unreachable 

aber dies scheint nicht zu funktionieren, weil Docker die folgenden Regeln erstellt:

Chain FORWARD (policy ACCEPT) 
target  prot opt source    destination 
DOCKER-ISOLATION all -- anywhere    anywhere 
DOCKER  all -- anywhere    anywhere 

Für die Leistungen:

Chain DOCKER (1 references) 
target  prot opt source    destination 
ACCEPT  tcp -- anywhere    172.17.0.2   tcp dpt:1234 
ACCEPT  tcp -- anywhere    172.17.0.4   tcp dpt:1234 

Schließlich:

Chain DOCKER-ISOLATION (1 references) 
target  prot opt source    destination 
RETURN  all -- anywhere    anywhere 

Jede Rückmeldung wird geschätzt.

Answer 1

Sie fügen die Regeln in der falschen Kette hinzu. Der Datenverkehr, der von einem Andock-Container stammt, durchläuft die FORWARD-Kette der filter-Tabelle, nicht die OUTPUT-Kette. Dies liegt daran, dass aus Sicht des Hostcomputers der Datenverkehr von der docker0-Schnittstelle eingeht und der Host-Computer lediglich als Weiterleitung fungiert.

Um zwischen eingehenden und ausgehenden Datenverkehr zu unterscheiden, verwenden Sie die Optionen -i und -o, um die Schnittstelle anzugeben. Außerdem können Sie mit uid nicht feststellen, ob der Datenverkehr von einem Andock-Container kommt (da die Daten nicht lokal stammen). Die Überprüfung der eingehenden Schnittstelle ist dafür ausreichend.

So fügen Sie die folgenden Regeln für die DOCKER-ISOLATION Kette (die sich aus der FORWARD Kette genannt wird):

-A DOCKER-ISOLATION -d 192.168.0.0/16 -i docker0 ! -o docker0 -j REJECT --reject-with icmp-port-unreachable 
-A DOCKER-ISOLATION -d 100.64.0.0/10 -i docker0 ! -o docker0 -j REJECT --reject-with icmp-port-unreachable 
-A DOCKER-ISOLATION -d 172.16.0.0/12 -i docker0 ! -o docker0 -j REJECT --reject-with icmp-port-unreachable 
-A DOCKER-ISOLATION -d 10.0.0.0/8 -i docker0 ! -o docker0 -j REJECT --reject-with icmp-port-unreachable 

ersetzen docker0 durch Namen des virtuellen von Docker geschaffene Schnittstelle.

(Hinweis: Wenn die Kette DOCKER-ISOLATION nicht existiert, direkt an FORWARD Kette anhängen).

Schauen Sie sich auch die Ausgabe von iptables -vL und iptables -t nat -vL an, um besser zu verstehen, wie Adressen übersetzt werden.