🏟️配置 ufw 管理 docker 端口 | 提升 Linux 安全性

2024-4-6|2024-4-18
D_SUPER
D_SUPER
type
status
date
slug
summary
category
tags
icon

Uncomplicated Firewall (UFW) 是常用的管理 netfilter 防火墙的程序,具有易上手的特点广受欢迎。但是直接安装的 UFW (apt-install ufw) 无法管理 docker 的服务端口,私有服务有在公网暴露的风险。因此,需要进一步设置规则让 ufw 接管 docker 的服务端口访问。使用 ufw-docker 避免直接配置防火墙,更加简便。

安装ufw-docker

下载 ufw-docker 脚本
使用下列命令来修改 ufw 的 after.rules 文件
这个命令做了以下事情:
  • 备份文件 /etc/ufw/after.rules
  • 把 UFW 和 Docker 的相关规则添加到文件 after.rules 的末尾

使用方法

显示帮助
检查 UFW 配置文件中防火墙规则的安装
更新 UFW 的配置文件,添加必要的防火墙规则
显示当前防火墙允许的转发规则
列出所有和容器 httpd 相关的防火墙规则
暴露容器 httpd 的 80 端口
暴露容器 httpd 的 443 端口,且协议为 tcp
如果容器 httpd 绑定到多个网络上,暴露其 443 端口,协议为 tcp,网络为 foobar-external-network
把容器 httpd 的所有映射端口都暴露出来
删除所有和容器 httpd 相关的防火墙规则
删除容器 httpd 的 tcp 端口 443 的规则
暴露服务 web 的 80 端口
删除与服务 web 相关的规则

使用案例

如果希望允许外部网络访问 Docker 容器提供的服务,比如有一个容器的服务端口是 80。那就可以用以下命令来允许外部网络访问这个服务:
这个命令会允许外部网络访问所有用 Docker 发布出来的并且内部服务端口为 80 的所有服务。
请注意,这个端口 80 是容器的端口,而非使用 -p 0.0.0.0:8080:80 选项发布在服务器上的 8080 端口。
如果有多个容器的服务端口为 80,但只希望外部网络访问某个特定的容器。比如该容器的私有地址为 172.17.0.2,就用类似下面的命令:
如果一个容器的服务是 UDP 协议,假如是 DNS 服务,可以用下面的命令来允许外部网络访问所有发布出来的 DNS 服务:
同样的,如果只针对一个特定的容器,比如 IP 地址为 172.17.0.2

报错及解决

安装可能会遇到报错: /usr/local/bin/ufw-docker: line 7: warning: setlocale: LC_ALL: cannot change locale (en_US.UTF-8)
解决办法
直接使用命令设置:sudo locale-gen en_US.UTF-8
重新配置系统的 locale 设置:
来选择要编译的本地语言。或者,直接编辑该文件:
并取消注释所需的本地语言,然后运行:

推荐阅读

致谢:
💡
有关 ufw-docker 安装或者使用上的问题,欢迎您在底部评论区留言,一起交流~
 

一个英文猜词游戏——WORDLE批量修改 Memos 的资源库图片链接 | sql | sqlite | DBeaver
Loading...