寻找支持网络 ACL 的容器/虚拟化方案

[9of6]

需要运行一些安全性存疑的软件和服务, 希望能够在本地受限网络中运行

具体功能类似于阿里云的网络安全组, 可以 禁止 /允许 网络出入的 源 /目的地址和端口

当前我调研的方案如下:

1. docker+手写 iptables+指定容器 ip 地址, 缺点是同 bridge 内无法控制网络, 而且手写规则比较麻烦
2. vmware 的 vSphere pod, 各种隔离性都拉满, 缺点是感觉方案太重了, 为了一个小需求上这么大的方案
3. lxd, 看文档支持网络 ACL, 但感觉用的人不多比较小众

求教大佬有没有更好的方案?

[defunct9]

1
docker 本身就离不开 iptables 。有啥不好控制得。

[geekvcn]

proxmox ve

[cybertruck]

k8s + calico

[salmon5]

k8s+calico/cilium

[9of6]

@defunct9 主要是我自己实验中发现, 禁止 docker 修改 iptables 后 docker 的同 bridge 内容器 A 和 B 间的通讯不经过主机的转发, 所以此时主机上的 iptables 转发规则无法控制容器 A 和 B 间的通讯

[9of6]

@salmon5
@cybertruck

k8s 中的相关工具丰富多了, 应当就用这类了

[xyjincan]

CentOS Stream 9 网络防火墙功能挺先进的

[Senorsen]

同 ls 们，用 Kubernetes + calico ，NetworkPolicy 可以满足很多需求了，包括与集群内部命名空间 Pod 、外部（ IP CIDR ）分别的入站、出站规则