📄
chjina Wiki
  • 首页
  • 网站收藏
    • GitHub
    • 趣站
      • 工具类
      • 网络工具
      • 网络空间资产
  • IT知识库
    • 路由交换
      • 华三
        • 防火墙
          • 概览页面的流量监控不显示数据
        • DHCP
          • IP Source Guard与DHCP Snooping配合的IPv4动态绑定功能配置举例
          • DHCP Snooping典型配置举例
        • 1.端口镜像配置
        • 2.链路聚合
        • 3.IRF堆叠
        • 4.ARP网关保护功能
        • 5.交换机作为SSH客户端登录出错
        • 6.策略路由改变下一跳
        • 7.交换机密码策略实现的解决办法
        • 8.华三交换机配置NTP
        • 9.环路检测配置举例
        • 10.静态路由、Track与NQA联动,设置浮动备份路由
      • 华为
        • 华为交换机开启远程Telnet登录
        • 华为交换机配置链路聚合
      • 锐捷
        • 常用命令
      • 戴尔
        • DELL 网络交换机 基本配置说明
      • 博科SAN交换机基本配置
    • 服务器
      • 浪潮
        • RAID配置
          • Ctrl+A RAID配置
          • Ctrl+H RAID配置
          • LSI 9271 8i Raid卡开启jbod(直通)功能
        • 启用MWAIT等
      • 华为
        • 华为2288H v5服务器开启MWAIT功能
      • 惠普
        • HPE服务器安装下载驱动教程
        • HP ilo5 更改中文
    • 虚拟化
      • Vmware
        • VMware 系列 密钥
        • vCenter
          • VCSA6.7无DNS安装
          • VCSA7.0.2无DNS安装
          • vCenter扩容硬盘
          • Vcenter 由于一个或多个 vCenter Server 系统的凭据无效,登录失败
        • ESXi
          • 使用命令升级ESXI系统(补丁)
          • ESXi覆盖安装重置root密码
          • vCenter重置ESXi主机root密码
    • 系统配置和优化
      • Windows
        • Windows挂载NFS
        • Windows Server 链路聚合配置
        • Windows 远程提示函数不受支持
        • Windows系统配置NTP服务器
        • Windows11系统初始化无网络连接
      • Linux
        • Centos
          • CentOS网卡配置
          • CentOS重置密码
          • CentOS使用iso镜像作为私有源
          • CentOS防火墙
          • 创建systemd service服务
        • Ubuntu
          • Ubuntu安装ssh
          • Ubuntu修改ip地址
          • Ubuntu 24.04 server 安装
    • Docker
      • UFW管理Docker端口
    • KMS激活命令
      • kms命令激活office
      • kms命令激活windows系统
    • 各厂商默认管理地址
  • 读书清单
    • 清单
  • 捡垃圾
    • 空气果Fun
    • 合宙Air700E/780E短信转发
由 GitBook 提供支持
在本页

这有帮助吗?

  1. IT知识库
  2. Docker

UFW管理Docker端口

目前新的解决方案只需要修改一个 UFW 配置文件即可,Docker 的所有配置和选项都保持默认。

修改 UFW 的配置文件 /etc/ufw/after.rules,在最后添加上如下规则:

# BEGIN UFW AND DOCKER
*filter
:ufw-user-forward - [0:0]
:ufw-docker-logging-deny - [0:0]
:DOCKER-USER - [0:0]
-A DOCKER-USER -j ufw-user-forward

-A DOCKER-USER -j RETURN -s 10.0.0.0/8
-A DOCKER-USER -j RETURN -s 172.16.0.0/12
-A DOCKER-USER -j RETURN -s 192.168.0.0/16

-A DOCKER-USER -p udp -m udp --sport 53 --dport 1024:65535 -j RETURN

-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 172.16.0.0/12

-A DOCKER-USER -j RETURN

-A ufw-docker-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW DOCKER BLOCK] "
-A ufw-docker-logging-deny -j DROP

COMMIT
# END UFW AND DOCKER

然后重启 UFW,sudo systemctl restart ufw。现在外部就已经无法访问 Docker 发布出来的任何端口了,但是容器内部以及私有网络地址上可以正常互相访问,而且容器也可以正常访问外部的网络。可能由于某些未知原因,重启 UFW 之后规则也无法生效,请重启服务器。

上一页Docker下一页KMS激活命令

最后更新于10天前

这有帮助吗?

原文链接:

chaifeng/ufw-docker: To fix the Docker and UFW security flaw without disabling iptables