Цепочка DOCKER-USER
Вопрос
Как ограничить доступ к опубликованным портам контейнеров через iptables?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Ответ
Правила Docker находятся в FORWARD и nat, поэтому INPUT и ufw их не фильтруют. Свои ограничения добавляют в цепочку DOCKER-USER, она проверяется до правил Docker: например, разрешить порт только из подсети офиса и отбросить остальное. Проще и надёжнее не публиковать внутренние порты или публиковать на 127.0.0.1.
Разбор
Правила Docker находятся в FORWARD и nat, поэтому INPUT и ufw их не фильтруют. Свои ограничения добавляют в цепочку DOCKER-USER, она проверяется до правил Docker: например, разрешить порт только из подсети офиса и отбросить остальное. Проще и надёжнее не публиковать внутренние порты или публиковать на 127.0.0.1.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.