脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 网站技巧 → 服务器 → 云和虚拟化 → docker → Docker端口不受ufw防火墙限制

Docker端口不受ufw防火墙限制问题及解决过程

 更新时间：2025年09月16日 09:51:29   作者：子受  
Docker与UFW因iptables兼容性导致端口未被正确过滤,通过修改UFW的after.rules文件,添加针对容器IP和端口的规则,并重启UFW或服务器,可使UFW规则生效,仅允许特定容器端口被外部访问

官方说明

(ufw) 是 Debian 和 Ubuntu 附带的前端，它允许您管理防火墙规则。 Docker 和 ufw 使用 iptables 的方式使它们彼此不兼容。

当您使用 Docker 发布容器的端口时，进出该容器的流量在通过 ufw 防火墙设置之前会被转移。

Docker 在表中路由容器流量nat，这意味着数据包在到达ufw 使用的链INPUT之前会被转移。

OUTPUT数据包在应用防火墙规则之前进行路由，从而有效地忽略您的防火墙配置。

现在的问题是需要ufw防火墙生效，尽可能少的修改docker网络。

下面是解决方法

修改UFW配置文件

修改 UFW 的配置文件 /etc/ufw/after.rules，在最后添加上如下规则：

# BEGIN UFW AND DOCKER
*filter
:ufw-user-forward - [0:0]
:ufw-docker-logging-deny - [0:0]
:DOCKER-USER - [0:0]
-A DOCKER-USER -j ufw-user-forward

-A DOCKER-USER -j RETURN -s 10.0.0.0/8
-A DOCKER-USER -j RETURN -s 172.16.0.0/12
-A DOCKER-USER -j RETURN -s 192.168.0.0/16

-A DOCKER-USER -p udp -m udp --sport 53 --dport 1024:65535 -j RETURN

-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 172.16.0.0/12

-A DOCKER-USER -j RETURN

-A ufw-docker-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW DOCKER BLOCK] "
-A ufw-docker-logging-deny -j DROP

COMMIT
# END UFW AND DOCKER

然后重启UFW，不生效则重启服务器

sudo systemctl restart ufw

现在外部就已经无法访问 Docker 发布出来的任何端口了

假设现在我有如下容器

  • 容器1 端口映射：8081:8080 docker内部IP地址：172.17.0.1
  • 容器2 端口映射：8082:8080 docker内部IP地址：172.17.0.2
  • 容器3 端口映射：8083:8085 docker内部IP地址：172.17.0.3

允许访问端口

ufw route allow 8080

这儿8080是容器内部的端口，而不是映射出的docker端口，执行这个规则后，容器1和容器2都能被外部访问。

ufw route allow 8085

执行这个规则后，只有容器3都能被外部访问。

想要只有容器1被外部访问

ufw route allow from any to 172.17.0.1 port 8080

容器具体的IP地址可以通过下面的命令获得

docker network inspect bridge

可以在输出中找到容器的ip地址，如果使用了自定义网络，而不是默认的bridge网络，将bridge更换为自定义网络名。

参考文档

总结

以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。

您可能感兴趣的文章:

相关文章

  • docker垃圾清理方式

    docker垃圾清理方式

    文章主要介绍了如何删除Docker镜像和容器、清理Docker磁盘空间以及配置Docker日志大小,通过这些方法可以有效地管理Docker资源,避免磁盘空间不足的问题
    2025-03-03
  • Docker如何同时启动多个服务

    Docker如何同时启动多个服务

    这篇文章主要为大家详细介绍了Docker如何同时启动多个服务,具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2016-10-10
  • docker images本地迁移的实现

    docker images本地迁移的实现

    这篇文章主要介绍了docker images本地迁移的实现方式，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
    2021-03-03
  • Docker 特性与原理详细介绍与解析

    Docker 特性与原理详细介绍与解析

    这篇文章主要介绍了Docker 特性与原理的相关资料,大家在了解基本命令和基本知识后，来看下原理性的通信，需要的朋友可以参考下
    2016-10-10
  • 滚动 docker 中的 nginx 日志思路详解

    滚动 docker 中的 nginx 日志思路详解

    Nginx 自己没有处理日志的滚动问题，本文笔者介绍如何滚动运行在 docker 中的 nginx 日志文件，感兴趣的朋友一起看看吧
    2018-08-08
  • Docker安全开放远程访问连接权限方式

    Docker安全开放远程访问连接权限方式

    文章介绍了如何配置Docker以实现远程访问、开启认证和通信加密,包括生成证书和私钥、配置Docker守护进程以及在IDEA和Maven中连接Docker服务的方法
    2024-11-11
  • Vue.js中的watch属性详解

    Vue.js中的watch属性详解

    在Vue.js中，watch属性是一种非常重要的属性，它可以监听Vue实例中指定的数据变化，并在数据发生变化时执行相应的操作,本文将对 Vue.js中的watch属性进行详细的介绍，并附上相关的代码示例,需要的朋友可以参考下
    2023-06-06
  • Docker拉取镜像过慢或卡死的解决方法(亲测有效)

    Docker拉取镜像过慢或卡死的解决方法(亲测有效)

    本文主要介绍了Docker拉取镜像过慢或卡死的解决方法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
    2023-07-07
  • Docker 部署Scrapy的详解

    Docker 部署Scrapy的详解

    这篇文章主要介绍了Docker 部署Scrapy的详解，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2018-04-04
  • Docker配置容器开机自启或服务重启后自启两种常见方法

    Docker配置容器开机自启或服务重启后自启两种常见方法

    Docker容器自启动是指在系统启动时自动启动并运行指定的Docker容器,这通常用于确保关键服务始终可用,无需手动干预,这篇文章主要介绍了Docker配置容器开机自启或服务重启后自启的 两种常见方法,需要的朋友可以参考下
    2025-08-08

最新评论