使用iptables管理docker容器做端口映射网络

10477777

　　昨天写了篇文章是关于docker如何绑定静态的ip，使容器里面的ip是固定的ip地址….  另外关于绑定ip地址，我们也是可以在docker run的时候用 docker run -p ip:port:port的方式….  他其实就是调用的iptables的方法…  

　　原文链接是，http://xiaorui.cc/?p=1502   http://xiaorui.cc
　　docker run -d  -p 9000:9000  redis_cluster 9000  ，生成一个外部9000对应容器端口9000的容器….  
　　

　　root@ubuntu:~# iptables -t nat -L -n
　　Chain PREROUTING (policy ACCEPT)
　　target     prot opt source               destination
　　DOCKER     all  --  0.0.0.0/0            0.0.0.0/0            ADDRTYPE match dst-type LOCAL
　　Chain INPUT (policy ACCEPT)
　　target     prot opt source               destination
　　Chain OUTPUT (policy ACCEPT)
　　target     prot opt source               destination
　　DOCKER     all  --  0.0.0.0/0           !127.0.0.0/8          ADDRTYPE match dst-type LOCAL
　　Chain POSTROUTING (policy ACCEPT)
　　target     prot opt source               destination
　　MASQUERADE  all  --  172.17.0.0/16        0.0.0.0/0
　　MASQUERADE  tcp  --  172.17.0.1           172.17.0.1           tcp dpt:9000
　　Chain DOCKER (2 references)
　　target     prot opt source               destination
　　DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:9000 to:172.17.0.1:9000
　　

　　通过上面的信息我们可以确定，他的端口转换不是在docker的服务端实现的，还是借助于linux的iptables策略实现的…. 那么我们就可以自己写DNAT的命令，让外部的端口进行转换…  docker创建了一个名为DOKCER的自定义的链条Chain ……  iptables自定义链条的好处就是可以让防火墙的策略更加的层次化… …  不至于因为构建一大堆的命令后，而看的有些迷糊….  如果是自己手动创建的端口映射，在我们删除docker 容器的时候，他不会把这条规则删除….   因为我们在docker rm 容器id 进行删除的时候，他也会把这容器相关联的映射关系给删掉。

iptables -t nat -A PREROUTING -p tcp –dport 80 -j DNAT –to 172.17.0.1:80
　　

　　root@ubuntu:~# iptables -S
　　-P INPUT ACCEPT
　　-P FORWARD ACCEPT
　　-P OUTPUT ACCEPT
　　-N DOCKER
　　-A FORWARD -o docker0 -j DOCKER
　　-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
　　-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
　　-A FORWARD -i docker0 -o docker0 -j ACCEPT
　　-A DOCKER -d 172.17.0.1/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 9000 -j ACCEPT
　　root@ubuntu:~# iptables -t nat -S
　　-P PREROUTING ACCEPT
　　-P INPUT ACCEPT
　　-P OUTPUT ACCEPT
　　-P POSTROUTING ACCEPT
　　-N DOCKER
　　-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
　　-A PREROUTING -p tcp -m tcp --dport 80 -j DNAT --to-destination 172.17.0.1:80
　　-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
　　-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
　　-A POSTROUTING -s 172.17.0.1/32 -d 172.17.0.1/32 -p tcp -m tcp --dport 9000 -j MASQUERADE
　　-A DOCKER -p tcp -m tcp --dport 9000 -j DNAT --to-destination 172.17.0.1:9000
　　我们才别的节点进行测试… ….  结果是OK的 ！
　　[ruifengyun@devops ~ ]$ curl -Iv 192.168.1.110
　　* Rebuilt URL to: 192.168.1.110/
　　* Hostname was NOT found in DNS cache
　　*   Trying 192.168.1.110...
　　* Connected to 192.168.1.110 (192.168.1.110) port 80 (#0)
　　> HEAD / HTTP/1.1
　　> User-Agent: curl/7.37.1
　　> Host: 192.168.1.110
　　> Accept: */*
　　>
　　< HTTP/1.1 200 OK
　　HTTP/1.1 200 OK
　　* Server nginx/1.0.15 is not blacklisted
　　< Server: nginx/1.0.15
　　Server: nginx/1.0.15
　　< Date: Tue, 19 May 2015 16:16:34 GMT
　　Date: Tue, 19 May 2015 16:16:34 GMT
　　< Content-Type: text/html
　　Content-Type: text/html
　　< Content-Length: 3698
　　Content-Length: 3698
　　< Last-Modified: Tue, 11 Nov 2014 16:27:04 GMT
　　Last-Modified: Tue, 11 Nov 2014 16:27:04 GMT
　　< Connection: keep-alive
　　Connection: keep-alive
　　< Accept-Ranges: bytes
　　Accept-Ranges: bytes
　　<
　　* Connection #0 to host 192.168.1.110 left intact
　　Dcoker的网络不怎么好理解，咱们一说桥接可能更多的是和源服务器本身一个同等的网络…. 但是docker的桥接bridge和我们以前的vmware virtualbox的nat是差不多的概念…. 这大家要注意下。  在复杂的环境下，总是来来回回的用iptables脚本有些杂乱，如果有闲心，推荐开发一个公司内部自己的docker管理平台，里面可以组织性的管理iptables防火墙…