একটি ডকার কন্টেইনারের মধ্যে থেকে অ্যাক্সেস করতে পারে এমন আইপি ঠিকানা সীমাবদ্ধ করার সেরা উপায় কী?

Question

আমার একটি উত্তর আছে যা ডকার কনটেইনার সীমাবদ্ধ করবে কেবল হোস্টের বাইরে একটিও আইপি ঠিকানা অ্যাক্সেস করতে পারবে। হোস্টে এই iptables নিয়ম ব্যবহার করে:

iptables-i ফরওয়ার্ড -আই docker0! -8.8.8.8 -জে DROP

মানে যে কোনও ডকার কন্টেইনারের ভিতরে থেকে আইপি ঠিকানা 8.8.8.8 অ্যাক্সেস করা সম্ভব।

এটি মোটামুটি কঠোর - মূলত, গন্তব্য যদি 8.8.8.8 না হয় তবে প্যাকেটটি ড্রপ করুন।

আমি কোনও নিয়মাবলী সেট আপ করতে পারি এমন সর্বোত্তম উপায় যা আমাকে কিছু নির্দিষ্ট আইপি ঠিকানাগুলিতে পাত্রে সীমাবদ্ধ করতে দেয়?

Comments

আমি কোন বিশেষজ্ঞ নই কিন্তু বিস্ময়ের চিহ্নটি মুছে ফেলার এবং DROP এর থেকে শেষ করার অনুমতিটি পরিবর্তন করার পরে আপনি অন্যান্য আইপি ঠিকানাগুলির জন্য অন্যান্য নিয়ম যোগ করতে পারেন। এবং আপনি খুব ড্রপ করার জন্য ফরওয়ার্ড নীতি পরিবর্তন করতে পারেন। যাতে আপনি অনুমতি দেয় যে ব্যতিক্রম আপনি অনুমতি দেয়। সুতরাং আপনি একটি সাদা তালিকা আছে

— barlop

এটি একটি অস্বাভাবিক প্রয়োজন। আমি একটি সমাধান দেখেছি যা ডকারের লিঙ্ক সুবিধাটি ভাঙিয়ে আপনার ক্ষেত্রে অভিযোজিত হতে পারে। আপনি কি আপনার আবেদন সম্পর্কে আমাদের আরো কিছু বলতে পারেন এবং কেন এটি আউটডোর সংযোগগুলির জন্য একটি সাদা তালিকা প্রয়োজন?

— Arnaud Meuret

Answer 1

ডকার কন্টেইনারে থাকা ওয়েবসাইটের ডেভ কপি কোনও লাইভ সংস্থান অ্যাক্সেস করতে পারেনি - পেপ্যাল, বিভিন্ন API গুলি ইত্যাদি। ওয়েবসাইটের কোডটি লিগ্যাসি ছিল এবং অনেকগুলি জিনিস / URL গুলি হার্ড-কোডেড ছিল।

আমি যেভাবে এটি অর্জন করেছি সেটি নির্মাণ স্ক্রিপ্টে এমন কিছু ছিল:

echo
echo "Setting up firewall rules for all docker containers..."
sudo ipset create dockerdests hash:ip -exist
sudo ipset add dockerdests x.x.x.x -exist
sudo ipset add dockerdests y.y.y.y -exist
sudo ipset add dockerdests 8.8.8.8 -exist
sudo ipset add dockerdests 8.8.4.4 -exist
sudo iptables -I FORWARD 1 -i docker0 -m set --match-set dockerdests dst -j ACCEPT
sudo iptables -I FORWARD 2 -i docker0 -j DROP

যেখানে x.x.x.x এবং y.y.y.y dev সম্পদ হয়।