VPS 上的 Docker 如何用 iptables 保护网络安全呢？

[MrLonely]

看到过一些朋友的私人服务，比如 nextcloud ，bitwarden 这种放在 VPS 上。 但是 Docker 开多了以后各个端口很难管理，有些 service 本身并不自带 user/password 认证。 有些 container 还会影射 host 的 volume 进去。如果被他人访问了很麻烦。 想要实现一个像家里局域网一样，先用代理服务回家，然后再访问各个服务的设定。

就是先用 wiregurad 连上 VPS ， 然后再把访问各个端口的流量转发到本机端口。 而从网络上直接来的流量全部 drop 掉，只允许通过 wireguard 的流量访问。 不太清楚这个要怎么样通过 iptables 实现。

[oovveeaarr]

你要找的是不是这个

https://docs.docker.com/network/iptables/

[Jakarta]

https://github.com/chaifeng/ufw-docker

[alexwu]

我的做法是所有服务监听 tailscale 的 IP ，然后

[alexwu]

@alexwu 然后在 tailscale 上还能设置不同的权限

[MrLonely]

@oovveeaarr 看描述我觉得应该是这个。我的需求主要就是 Restrict connections to the Docker host 这一条。
the following rule restricts external access from all IP addresses except 192.168.1.1:
iptables -I DOCKER-USER -i ext_if ! -s 192.168.1.1 -j DROP

但是我把它改成
iptables -I DOCKER-USER -i 1.2.3.4 ! -s 127.0.0.1 -j DROP
之后，所有 docker 的网页依然可以继续访问。不需要挂代理。


@Jakarta 我也跟着这个操作了一遍，也重启了。似乎没有达到效果。

[MrLonely]

@Jakarta 然后又突然成功了。多谢了。

[leaflxh]

启动的时候指定 -p 127.0.0.1:本机端口:容器内服务端口

[kiritoyui]

禁止所有端口，开启 80.443.22 ，需要 web 访问的容器全部用 caddy 反代，没有认证的就用 caddy 的 basic auth

[kiritoyui]

@kiritoyui 还忘了说容器只暴露到 127.0.0.1