【转】docker网络与iptables

http://blog.51cto.com/ganbing/2087598

iptables与docker网络

查看与docker相关的iptable：sudo iptables-save | grep docker

源ip地址变换规则

• Docker安装完成后，将默认在宿主机系统上增加一些iptables规则，以用于Docker容器和容器之间以及和外界的通信，可以使用iptables-save命令查看。
• 其中nat表中的POSTROUTING链有这么一条规则：

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

参数说明：
-s ：源地址172.17.0.0/16
-o：指定数据报文流出接口为docker0
-j ：动作为MASQUERADE（地址伪装）

• 上面这条规则关系着Docker容器和外界的通信，含义是：
  • 判断源地址为172.17.0.0/16的数据包（即Docker容器发出的数据），当不是从docker0网卡发出时做SNAT（源地址转换）。
  • 这样一来，从Docker容器访问外网的流量，在外部看来就是从宿主机上发出的，外部感觉不到Docker容器的存在。

目标ip地址变换规则

• 从Docker容器访问外网的流量，在外部看来就是从宿主机上发出的，外部感觉不到Docker容器的存在
  • 那么，外界想到访问Docker容器的服务时，同样需要相应的iptables规则

例子说明

• 1、首先启动一个 tomcat容器，将其8080端口映射到宿主机上的8080端口上：

#docker run -itd --name  tomcat01 -p 8080:8080 tomcat:latest 

• 2、然后查看iptabels规则：

#iptables-save
*nat
-A POSTROUTING -s 172.17.0.4/32 -d 172.17.0.4/32 -p tcp -m tcp --dport 8080 -j MASQUERADE
...

*filter
-A DOCKER -d 172.17.0.4/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 8080 -j ACCEPT

• 可以看到，在nat、filter的Docker链中分别增加了一条规则
  • 这两条规则将访问宿主机``8080端口的流量转发到了172.17.0.4的8080端口上（即真正提供服务的Docker容器IP和端口）
• 所以外界访问Docker容器是通过iptables做DNAT（目的地址转换）实现的。

自定义限制外部ip规则

• Docker的forward规则默认允许所有的外部IP访问容器
• 可以通过在filter的DOCKER链上添加规则来对外部的IP访问做出限制
• 只允许源IP192.168.0.0/16的数据包访问容器，需要添加如下规则：

iptables -I DOCKER -i docker0 ! -s 192.168.0.0/16 -j DROP

Docker容器间通信iptables规则

• 不仅仅是与外界间通信，Docker容器之间互个通信也受到iptables规则限制。

  • 同一台宿主机上的Docker容器默认都连在docker0网桥上，它们属于一个子网，这是满足相互通信的第一步。

• Docker daemon启动参数--icc(icc参数表示是否允许容器间相互通信)设置为false时会在filter的FORWARD链中增加一条ACCEPT的规则（--icc=true）：

  -A FORWARD -i docker0 -o docker0 -j ACCEPT
  

• 当Docker datemon启动参数--icc设置为false时，以上规则会被设置为DROP，Docker容器间的相互通信就被禁止

  • 这种情况下，想让两个容器通信就需要在docker run时使用--link选项。

docker网络与ip-forward

• 在Docker容器和外界通信的过程中，还涉及了数据包在多个网卡间的转发

  • 如从docker0网卡转发到宿主机ens160网卡

  • 这需要内核将ip-forward功能打开

    • 即将ip_forward系统参数设1：echo 1 > /proc/sys/net/ipv4/ip_forward
    • Docker daemon启动的时候默认会将其设为1（--ip-forward=true）