docker-compose で起動したコンテナのportをfirewallで制御したい。

Question

外部からアクセスさせたいのでportフォワーディングして外部に公開しています。

centos8のfirewallで指定したportにip制限をかけたいのですが、
portフォワーディングしているためdocke側がportをあけて、firewall側の制御がきかない状態です。

docker-composeもdocker run のiptables=falseのようなオプションがあるのでしょうか？
それともdokcerの設定ファイルなどを変更する必要があるのでしょうか？

ご教授をよろしくお願いいたします。

Answer 1

iptables(netfilter)側については設定によりますが、Docker Compose 単体としては 公式ドキュメント にあるような、ポートの公開範囲を指定する方法はいかがでしょうか。

ports:
  - "127.0.0.1:443:443"

利用形態にもよりますが、もしかすると、ファイアウォールにこだわらず、何らかのリバースプロキシを設置する方法も有効かもしれません。

Comments

[node_chan]

ご回答ありがとうございます。
127.0.0.1ってことは、外部でなくDockerを実行しているホスト内のIPですよね？
portsはhostとコンテナのポート or ipを記載する箇所という認識です。
ちなみに、127.0.0.1の箇所に許可したい外部のIPを記載すると起動時にbind: cannot assign requested addressで怒られます。

[zembutsu]

> ちなみに、127.0.0.1の箇所に許可したい外部のIPを記載すると起動時にbind: cannot assign requested addressで怒られます。

ここには 127.0.0.1 または、そのサーバが持っているネットワーク・インターフェースの IP アドレスしか記述できません。

以下、先日の追記の捕捉です。

仮に 127.0.0.1 としますと、そのサーバ内のローカル環境以外からは Docker コンテナに接続できなくなります。つまり、同じサーバ上にリバースプロキシをセットアップし、そのリバースプロキシ上でアクセス制限を行えば、ファイアウォール的なアクセス制御ができるようになります。