Docker中iptables规则在iptables重启后丢失的完整过程

  • 0
  • 0
  • 23

前因后果

1、在跳板机上使用ansible命令测试机器B时，报错如下，于是就怀疑是网络防火墙的问题

 
10.10.0.86 | FAILED >> {
 "failed": true,
 "msg": "/bin/sh: /usr/bin/python: No such file or directory\r\nOpenSSH_7.6p1 Ubuntu-4ubuntu0.3, OpenSSL 1.0.2n 7 Dec 2017\r\ndebug1: Reading configuration data /etc/ssh/ssh_config\r\ndebug1: /etc/ssh/ssh_config line 19: Applying options for *\r\ndebug1: auto-mux: Trying existing master\r\ndebug1: mux_client_request_session: master session id: 2\r\nShared connection to 10.10.0.86 closed.\r\n",
 "parsed": false
}

2、登录到机器B上，这是一台线上的机器，里面运行docker容器，然后我看平时的经验一般是网络防火墙有问题就直接

 
iptables -F
systemctl stop iptables
systemctl stop firewalld

3、然后我想着这应该不会影响容器吧，就看容器的日志，没想到10几个全部报错，都是连接不上，有点慌...,重启容器，完全是起不来的，报错如下

 
docker: Error response from daemon: driver failed programming external connectivity on endpoint happy_ptolemy (9cedc114be35eb86cd6f7f7bb4f11f93b5f8d2c0745afc72664cef8e96aad439): iptables failed: iptables --wait -t filter -A DOCKER ! -i docker0 -o docker0 -p tcp -d 10.10.0.86 --dport 3000 -j ACCEPT: iptables: No chain/target/match by that name.
 
(exit status 1).

4、解决办法，重启docker

 
systemctl restart docker

知识点

1、netfilter与iptables的关系

Netfilter是在Linux内核中的一个防火墙框架，用于管理网络数据包，不仅具有网络地址转换（NAT）的功能，也具有数据包内容修改，以及数据包过滤等防火墙功能。利用在用户空间的应用软件iptables等来控制Netfilter（iptables只是应用软件，工具）。

2、iptables与firewalld的关系

firewalld和iptables一样都是应用软件，是工具，但是他的底层还是先通过iptables。

 

3、docker与firewalld、iptables的关系

1）docker安装完成后，会自动接管iptables或者firewalld，在docker run的时候，会自动往iptables里加入规则；所以当iptables重启后会丢失，只有再重启docker就好了的原因。

2）当使用Systemd 的时候， firewalld 会在 Docker 之前启动，但是如果你在 Docker 启动之后再启动 或者重启 firewalld ，就需要重启 Docker 进程了。

docker网络类型

  • none：顾名思义，不使用网络，只使用lo
  • host：使用主机的网络
  • bridge：桥接，相当于nat，通过docker0分配一个172.17.0.x的地址使用
  • container：使用指定容器的网络

Docker提供了bridge, host, overlay等多种网络。同一个Docker宿主机上同时存在多个不同类型的网络，位于不同网络中的容器，彼此之间是无法通信的。

Docker容器的跨网络隔离与通信，是借助了iptables的机制。

iptables的filter表中默认分为INPUT, FORWARD和OUTPUT共3个链。

Docker在FORWARD链中（forward到自定义的链），还额外提供了自己的链，以实现bridge网络之间的隔离与通信。

##地址转发表nat中的规则链及默认
*nat
#PREROUTING规则链默认策略是ACCEPT
:PREROUTING ACCEPT [0:0]
#INPUT规则链默认策略是ACCEPT
:INPUT ACCEPT [0:0]
#OUTPUT规则链默认策略是ACCEPT
:OUTPUT ACCEPT [4:272]
#POSTROUTING规则链默认策略是ACCEPT
:POSTROUTING ACCEPT [4:272]
#DOCKER规则链默认策略是ACCEPT
:DOCKER - [0:0]
 
#######################在PREROUTING规则链中添加的规则###########################
##-m表示使用扩展模块进行数据包匹配，到达本机的数据包，如果目标地址类型是本地局域网，则指定到DOCKER链
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
 
#######################在OUTPUT规则链中添加的规则###########################
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
 
#######################在POSTROUTING规则链中添加的规则###########################
##这条规则是为了使容器和外部网络通信
#将源地址为192.168.0.0/20的包（也就是从Docker容器产生的包），并且不是从docker0网卡发出的
#进行源地址转换，转换成主机网卡的地址。
-A POSTROUTING -s 192.168.0.0/20 ! -o docker0 -j MASQUERADE
 
############################在DOCKER规则链中添加的规则###########################
#由docker0接口输入的数据包，返回到调用链；-i指定了要处理来自哪个接口的数据包
-A DOCKER -i docker0 -j RETURN
 
###############################################################################
##规则表中的链及默认策略
*filter
:INPUT DROP [4:160]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [59:48132]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
 
############################在FORWARD规则链中添加的规则###########################
##数据包全部指定到DOCKER-USER链
-A FORWARD -j DOCKER-USER
##数据包全部指定到DOCKER-ISOLATION-STAGE-1链
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
 
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
##由docker0接口输出的数据包，指定到DOCKER链
-A FORWARD -o docker0 -j DOCKER
##由docker0接口输入的数据包，且不是由docker0接口输出的数据包，允许通过
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
##由docker0接口输入的数据包，且由docker0接口输出的数据包，允许通过
-A FORWARD -i docker0 -o docker0 -j ACCEPT
 
####################在DOCKER-ISOLATION-STAGE-1规则链中添加的规则#################
##由docker0接口输入的数据包，且不是由docker0接口输出的数据包，指定到DOCKER-ISOLATION-STAGE-2链
##也就是要处理来自docker0的数据包，但是不是由docker0输出的数据包
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
##数据包直接返回到调用链
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
 
####################在DOCKER-ISOLATION-STAGE-2规则链中添加的规则#################
##由docker0接口输出的数据包，丢弃掉
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
##数据包直接返回到调用链
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
 
############################在DOCKER-USER规则链中添加的规则###########################
##直接返回到调用链
-A DOCKER-USER -j RETURN

4、iptables是Linux中网络钩子，有四表五链。

  • filter表即防火墙规则，允许、阻止或丢弃进出的数据包，使用是最多的
  • nat表，网络地址转换，内网的数据包收发室，有多种类型，常见的有SNAT，PNAT，DNAT，是第二常用的
  • mangle表，修改数据包的TTL，给数据包做不同的标记，策略路由等
  • raw表，一般用于跟踪状态，调试，用的较少

优先级：raw，mangle，nat，filter

五链：

  • PREROUTING，到达本机前的路由规则
  • INPUT，进入本机的规则
  • FORWARD，转发的规则
  • OUTPUT，本机发出的规则
  • POSTROUTING，发出后的路由规则

 


注意：本文归作者所有，未经作者允许，不得转载

点赞 0
#iptables #firewalld
阅读全部

已有 0 条评论

    欢迎您，新朋友，感谢参与互动！