run - Docker: ¿Cómo recrear las reglas de iptables adicionales de los dockers?

run docker with proxy

Question

Cuando el docker-demonio comienza, agrega un par de reglas a iptables. Cuando todas las reglas se eliminan a través de iptables -F tengo que detener y reiniciar el demonio docker para volver a crear las reglas de los dockers.

¿Hay alguna manera de que la ventana acoplable vuelva a agregar sus reglas adicionales?

Answer 1

Si está ejecutando Ubuntu en el host, puede usar la utilidad iptables-save para guardar las reglas de iptables en un archivo después de iniciar el demonio docker. Luego, una vez que elimine las reglas anteriores, simplemente puede restaurar las reglas originales de la ventana acoplable utilizando iptables-restore y el archivo de reglas guardado.

Si no desea restaurar todas las reglas antiguas de iptables, puede modificar el archivo de reglas guardado para conservar solo las que necesita.

Si está ejecutando otro sistema operativo, es posible que encuentre una alternativa similar.

Answer 2

la mejor manera es reiniciar el servicio de la ventana acoplable, luego volverá a agregar las reglas de la ventana acoplable a iptables. (en deb-based: sudo service docker restart )

sin embargo, si solo desea restaurar esas reglas sin reiniciar su servicio, guardé el mío para que pueda inspeccionarlo y ajustarlo para que funcione para usted, luego cargue con sudo iptables-restore ./iptables-docker-ports.backup

edite y guarde esto en ./iptables-docker-ports.backup

# Generated by iptables-save v1.4.21 on Thu Apr 30 20:48:42 2015
*nat
:PREROUTING ACCEPT [18:1080]
:INPUT ACCEPT [18:1080]
:OUTPUT ACCEPT [22:1550]
:POSTROUTING ACCEPT [22:1550]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.1/32 -d 172.17.0.1/32 -p tcp -m tcp --dport 80 -j MASQUERADE
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 3001 -j DNAT --to-destination 172.17.0.1:80
COMMIT
# Completed on Thu Apr 30 20:48:42 2015
# Generated by iptables-save v1.4.21 on Thu Apr 30 20:48:42 2015
*filter
:INPUT ACCEPT [495:53218]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [480:89217]
:DOCKER - [0:0]
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER -d 172.17.0.1/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 80 -j ACCEPT
COMMIT
# Completed on Thu Apr 30 20:48:42 2015