Dockerコンテナ外部からの通信制御はiptablesを使用して行う。（参考）

Dockerコンテナ外部からの通信制御について理解したいので、まずiptablesについて復習していきたい。

iptablesはLinuxでパケットフィルタリングを行うツール。iptablesには後継のツールnftablesが存在する（が、Dockerの外部通信制御はiptablesで行っている）

まずはiptablesを使用するためにインストールする。

# yum install iptables-services
# systemctl enable iptables
# systemctl start iptables

iptablesを理解するのに必要な概念は２つある。テーブルとチェインである。

テーブルは４種類あり、一番利用機会が多いのはfilterテーブルだろうと思われる。filterテーブルはパケットフィルタリングを行うテーブルで、そこにフィルタリングルールを追加していく。nftablesとは異なり、テーブルは事前に用意されている。

下の例では、送信元アドレスがxxx.xxx.xxx.xxxで送信先ポート番号が80番のTCPパケットをドロップさせる。

iptables -t filter -A INPUT -p tcp -s xxx.xxx.xxx.xxx --dport 80 -j DROP

テーブル

テーブルは-t [テーブル名]で指定する。上の例だとfilterテーブルが指定されている。

上の例だと-Aの箇所。代表的なコマンドオプションは以下の通り。

チェイン

上の例だとINPUTの箇所。代表的なチェインは以下の通り。

パケットは以下の流れで、各テーブルのチェーンで処理される。

上の例だと-pと-s、-jの部分。代表的なパラメータオプションは以下の通り。

上の例だと--dportの部分。

上の例だとDROPの部分。

ACCEPT
- パケットの許可
DROP
- パケットのドロップ。エラーパケットの送信なし。
REJECT
- パケットを破棄し、エラーパケットを送信元に返送する。
RETURN
- 現在のチェーンのルールに対するパケットの確認を停止
LOG
- パケットの情報をログに記録する。デフォルトでは/var/log/messagesに出力。/etc/syslog.confでログ出力先を制御。

iptablesコマンドで作成したルールはメモリーに保存されるため、再起動するとすべてのルールが失われる。再起動後も維持するには、以下のコマンドで/etc/sysconfig/iptablesにルールを保存する。

# service iptables save

参考