docker iptables

• iptable is define in /etc/docker/daemon.json and default is false , must open it 

•   default iptalbes

# iptables -S

-P INPUT ACCEPT

-P FORWARD ACCEPT

-P OUTPUT ACCEPT

-N DOCKER

-N DOCKER-ISOLATION-STAGE-1

-N DOCKER-ISOLATION-STAGE-2

-N DOCKER-USER

-A FORWARD -j DOCKER-USER

-A FORWARD -j DOCKER-ISOLATION-STAGE-1

-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A FORWARD -o docker0 -j DOCKER

-A FORWARD -i docker0 ! -o docker0 -j ACCEPT

-A FORWARD -i docker0 -o docker0 -j ACCEPT

-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2

-A DOCKER-ISOLATION-STAGE-1 -j RETURN

-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP

-A DOCKER-ISOLATION-STAGE-2 -j RETURN

-A DOCKER-USER -j RETURN

• Look the chain

[root@localhost mybin]# iptables -L

Chain INPUT (policy ACCEPT)

target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)

target     prot opt source               destination         

DOCKER-USER  all  --  anywhere             anywhere            

DOCKER-ISOLATION-STAGE-1  all  --  anywhere             anywhere            

ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED

DOCKER     all  --  anywhere             anywhere            

ACCEPT     all  --  anywhere             anywhere            

ACCEPT     all  --  anywhere             anywhere            

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination         

Chain DOCKER (1 references)

target     prot opt source               destination         

Chain DOCKER-ISOLATION-STAGE-1 (1 references)

target     prot opt source               destination         

DOCKER-ISOLATION-STAGE-2  all  --  anywhere             anywhere            

RETURN     all  --  anywhere             anywhere            

Chain DOCKER-ISOLATION-STAGE-2 (1 references)

target     prot opt source               destination         

DROP       all  --  anywhere             anywhere            

RETURN     all  --  anywhere             anywhere            

Chain DOCKER-USER (1 references)

target     prot opt source               destination         

RETURN     all  --  anywhere             anywhere            

[root@localhost mybin]# iptables -L

Chain INPUT (policy ACCEPT)

target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)

target     prot opt source               destination         

DOCKER-USER  all  --  anywhere             anywhere            

DOCKER-ISOLATION-STAGE-1  all  --  anywhere             anywhere            

ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED

DOCKER     all  --  anywhere             anywhere            

ACCEPT     all  --  anywhere             anywhere            

ACCEPT     all  --  anywhere             anywhere            

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination         

Chain DOCKER (1 references)

target     prot opt source               destination         

Chain DOCKER-ISOLATION-STAGE-1 (1 references)

target     prot opt source               destination         

DOCKER-ISOLATION-STAGE-2  all  --  anywhere             anywhere            

RETURN     all  --  anywhere             anywhere            

Chain DOCKER-ISOLATION-STAGE-2 (1 references)

target     prot opt source               destination         

DROP       all  --  anywhere             anywhere            

RETURN     all  --  anywhere             anywhere            

Chain DOCKER-USER (1 references)

target     prot opt source               destination         

RETURN     all  --  anywhere             anywhere

##

[root@localhost mybin]# iptables-save

# Generated by iptables-save v1.4.21 on Fri Nov 12 14:52:09 2021

*filter

:INPUT ACCEPT [4092:1167973]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [3144:1537085]

:DOCKER - [0:0]

:DOCKER-ISOLATION-STAGE-1 - [0:0]

:DOCKER-ISOLATION-STAGE-2 - [0:0]

:DOCKER-USER - [0:0]

-A FORWARD -j DOCKER-USER

-A FORWARD -j DOCKER-ISOLATION-STAGE-1

-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A FORWARD -o docker0 -j DOCKER

-A FORWARD -i docker0 ! -o docker0 -j ACCEPT

-A FORWARD -i docker0 -o docker0 -j ACCEPT

-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2

-A DOCKER-ISOLATION-STAGE-1 -j RETURN

-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP

-A DOCKER-ISOLATION-STAGE-2 -j RETURN

-A DOCKER-USER -j RETURN

COMMIT

# Completed on Fri Nov 12 14:52:09 2021

# Generated by iptables-save v1.4.21 on Fri Nov 12 14:52:09 2021

*nat

:PREROUTING ACCEPT [24:2684]

:INPUT ACCEPT [23:2600]

:OUTPUT ACCEPT [44:2799]

:POSTROUTING ACCEPT [44:2799]

:DOCKER - [0:0]

-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER

-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER

-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE

-A DOCKER -i docker0 -j RETURN

COMMIT

# Completed on Fri Nov 12 14:52:09 2021

#ref

https://www.itread01.com/content/1549511473.html

iptables: https://www.digitalocean.com/community/tutorials/how-to-list-and-delete-iptables-firewall-rules

docker and iptables

office docker and iptables

知呼 good

csdn docker firewall

firewall cmd

easy firewall

docker firwall , 睿揚