CentOS7下Docker端口映射后防火墙失效

背景

1. Docker 容器添加端口映射后，会自动添加系统防火墙规则，将端口开放给所有ip访问。
2. 使用 firewall-cmd 命令无法查看和管理 Docker 添加的防火墙规则。
3. 使用 iptables 能查看该规则，但对其管理无效（firewalld 底层认识 iptables ，重启 firewalld 服务规则复原）

原因

docker 会自动添加一个优先级最高的针对这个映射端口全开放规则。

解决方案

1. 开启防火墙的 masquerade 包转发功能

   centos 系统安装好后运行于主机模式，并没有开启包转发功能。
   即系统只处理目的地为本机的数据包，不会转发发往其他地址的数据包。
   在内核中有相应配置选项 net.ipv4.ip_forward 默认设置为 0。
   可以通过命令 sysctl net.ipv4.ip_forward=1 手动开启包转发功能。
   防火墙的 masquerade 功能进行地址伪装（NAT），
   私网访问公网或公网访问私网都需要开启此功能来进行地址转换，否则无法正常互访。
   通过命令 firewall-cmd --add-masquerade 开启此功能，
   开启之后 net.ipv4.ip_forward 的值自动被设置为1，即 centos 启用包转发。
   

2. 在 docke r启动时添加参数来禁止 docker 对本机防火墙的操作。

具体步骤

1. 增加内核配置项参数，在 /etc/sysctl.conf 新增 net.ipv4.ip_forward=1 ，执行 sysctl -p 使配置生效。

2. 执行命令 firewall-cmd --permanent --zone=public --add-masquerade ，开启防火墙的masquerade功能。

3. 在 /lib/systemd/system/docker.service 追加docker服务启动参数–iptables=false

   ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock --iptables=false
   

4. 执行systemctl daemon-reload和systemctl restart docker重启服务或直接reboot

系统推荐

• Oh My ZSH
• Notion笔记定时备份
• MySQL高可用
• 数组转树形结构只需两步
• 提取Docker镜像中的文件
• KVM方式集群部署ES
• MongoDB高可用
• 正则表达式匹配第几个符号问题
• 批量修改git历史记录中的用户名和邮箱
• 不重启 JVM，如何替换掉已经加载的类？
• Lombok的Accessors导致EasyExcel读取失败
• vuepress-theme-hope 添加谷歌广告

---

---

• 随机毒鸡汤：我始终相信，困难也许会迟到，但绝不会缺席。