Docker端口不受ufw防火墙限制问题及解决过程
作者：子受
Docker与UFW因iptables兼容性导致端口未被正确过滤,通过修改UFW的after.rules文件,添加针对容器IP和端口的规则,并重启UFW或服务器,可使UFW规则生效,仅允许特定容器端口被外部访问
官方说明
(ufw) 是 Debian 和 Ubuntu 附带的前端，它允许您管理防火墙规则。 Docker 和 ufw 使用 iptables 的方式使它们彼此不兼容。
当您使用 Docker 发布容器的端口时，进出该容器的流量在通过 ufw 防火墙设置之前会被转移。
Docker 在表中路由容器流量nat，这意味着数据包在到达ufw 使用的链INPUT之前会被转移。
OUTPUT数据包在应用防火墙规则之前进行路由，从而有效地忽略您的防火墙配置。
现在的问题是需要ufw防火墙生效，尽可能少的修改docker网络。
下面是解决方法
修改UFW配置文件
修改 UFW 的配置文件 /etc/ufw/after.rules，在最后添加上如下规则：
# BEGIN UFW AND DOCKER *filter :ufw-user-forward - [0:0] :ufw-docker-logging-deny - [0:0] :DOCKER-USER - [0:0] -A DOCKER-USER -j ufw-user-forward -A DOCKER-USER -j RETURN -s 10.0.0.0/8 -A DOCKER-USER -j RETURN -s 172.16.0.0/12 -A DOCKER-USER -j RETURN -s 192.168.0.0/16 -A DOCKER-USER -p udp -m udp --sport 53 --dport 1024:65535 -j RETURN -A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16 -A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8 -A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12 -A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 192.168.0.0/16 -A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 10.0.0.0/8 -A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 172.16.0.0/12 -A DOCKER-USER -j RETURN -A ufw-docker-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW DOCKER BLOCK] " -A ufw-docker-logging-deny -j DROP COMMIT # END UFW AND DOCKER
然后重启UFW，不生效则重启服务器
sudo systemctl restart ufw
现在外部就已经无法访问 Docker 发布出来的任何端口了
假设现在我有如下容器
- 容器1 端口映射：8081:8080 docker内部IP地址：172.17.0.1
- 容器2 端口映射：8082:8080 docker内部IP地址：172.17.0.2
- 容器3 端口映射：8083:8085 docker内部IP地址：172.17.0.3
允许访问端口
ufw route allow 8080
这儿8080是容器内部的端口，而不是映射出的docker端口，执行这个规则后，容器1和容器2都能被外部访问。
ufw route allow 8085
执行这个规则后，只有容器3都能被外部访问。
想要只有容器1被外部访问
ufw route allow from any to 172.17.0.1 port 8080
容器具体的IP地址可以通过下面的命令获得
docker network inspect bridge
可以在输出中找到容器的ip地址，如果使用了自定义网络，而不是默认的bridge网络，将bridge更换为自定义网络名。
总结
以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。