W3Cschool
恭喜您成為首批注冊用戶
獲得88經(jīng)驗值獎勵
默認情況下,容器可以主動訪問到外部網(wǎng)絡的連接,但是外部網(wǎng)絡無法訪問到容器。
容器所有到外部網(wǎng)絡的連接,源地址都會被NAT成本地系統(tǒng)的IP地址。這是使用 iptables
的源地址偽裝操作實現(xiàn)的。
查看主機的 NAT 規(guī)則。
$ sudo iptables -t nat -nL
...
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- 172.17.0.0/16 !172.17.0.0/16
...
其中,上述規(guī)則將所有源地址在 172.17.0.0/16
網(wǎng)段,目標地址為其他網(wǎng)段(外部網(wǎng)絡)的流量動態(tài)偽裝為從系統(tǒng)網(wǎng)卡發(fā)出。MASQUERADE 跟傳統(tǒng) SNAT 的好處是它能動態(tài)從網(wǎng)卡獲取地址。
容器允許外部訪問,可以在 docker run
時候通過 -p
或 -P
參數(shù)來啟用。
不管用那種辦法,其實也是在本地的 iptable
的 nat 表中添加相應的規(guī)則。
使用 -P
時:
$ iptables -t nat -nL
...
Chain DOCKER (2 references)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:49153 to:172.17.0.2:80
使用 -p 80:80
時:
$ iptables -t nat -nL
Chain DOCKER (2 references)
target prot opt source destination
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 to:172.17.0.2:80
注意:
-p IP:host_port:container_port
或 -p IP::port
來指定允許訪問容器的主機上的 IP、接口等,以制定更嚴格的規(guī)則。/etc/default/docker
中指定 DOCKER_OPTS="--ip=IP_ADDRESS"
,之后重啟 Docker 服務即可生效。Copyright©2021 w3cschool編程獅|閩ICP備15016281號-3|閩公網(wǎng)安備35020302033924號
違法和不良信息舉報電話:173-0602-2364|舉報郵箱:jubao@eeedong.com
掃描二維碼
下載編程獅App
編程獅公眾號
聯(lián)系方式:
更多建議: