在Docker容器中使用iptables时的最小权限的开启方法
程序员文章站
2022-04-06 10:05:40
在docker容器中使用iptables时的最小权限的开启方法
dcoker容器在使用的过程中,有的时候是需要使用在容器中使用iptables进行启动的,默认的docke...
在docker容器中使用iptables时的最小权限的开启方法
dcoker容器在使用的过程中,有的时候是需要使用在容器中使用iptables进行启动的,默认的docker run时都是以普通方式启动的,没有使用iptables的权限,那么怎样才能在容器中使用iptables呢?要如何开启权限呢?
那么在docker进行run的时候如何将此容器的权限进行配置呢?主要是使用--privileged或--cap-add、--cap-drop来对容器本身的能力的开放或限制。以下将举例来进行说明:
例如:
有一个image为aaa的将启动为容器名为bbb的且在容器内需要使用iptables功能,可以使用--privileged=true来进行开启,如:
~$ docker run --privileged=true -d -p 4489:4489/tcp --name bbb aaa
执行以上的命令后,可以进入容器中进行iptables的配置:
~$ docker exec -it cg_openvpn /bin/bash ~#iptables -a input -s 192.168.1.156 -j drop /# iptables -nvl chain input (policy accept 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 0 0 drop all -- * * 192.168.1.156 0.0.0.0/0
但是这样的话就将系统的所有能力都开放给了docker容器,这是一种对宿主机非常不安全的做法,例如:可以直接对宿主机中的设备等进行操作。对于iptables需要的权限进行开放,而对于其它的权限不予开放,那么在启动docker的时候使用如下的命令参数进行限制权限的过度开放:
~$ docker run--cap-add net_admin --cap-add net_raw -d -p 4489:4489/tcp --name bbb aaa
感谢阅读,希望能帮助到大家,谢谢大家对本站的支持!