Docker端口不受ufw防火墙限制问题及解决过程

更新时间：2025年09月16日 09:51:29 作者：子受

Docker与UFW因iptables兼容性导致端口未被正确过滤,通过修改UFW的after.rules文件,添加针对容器IP和端口的规则,并重启UFW或服务器,可使UFW规则生效,仅允许特定容器端口被外部访问

官方说明

(ufw) 是 Debian 和 Ubuntu 附带的前端，它允许您管理防火墙规则。 Docker 和 ufw 使用 iptables 的方式使它们彼此不兼容。

当您使用 Docker 发布容器的端口时，进出该容器的流量在通过 ufw 防火墙设置之前会被转移。

Docker 在表中路由容器流量nat，这意味着数据包在到达ufw 使用的链INPUT之前会被转移。

OUTPUT数据包在应用防火墙规则之前进行路由，从而有效地忽略您的防火墙配置。

现在的问题是需要ufw防火墙生效，尽可能少的修改docker网络。

下面是解决方法

修改UFW配置文件

修改 UFW 的配置文件 /etc/ufw/after.rules，在最后添加上如下规则：

# BEGIN UFW AND DOCKER
*filter
:ufw-user-forward - [0:0]
:ufw-docker-logging-deny - [0:0]
:DOCKER-USER - [0:0]
-A DOCKER-USER -j ufw-user-forward

-A DOCKER-USER -j RETURN -s 10.0.0.0/8
-A DOCKER-USER -j RETURN -s 172.16.0.0/12
-A DOCKER-USER -j RETURN -s 192.168.0.0/16

-A DOCKER-USER -p udp -m udp --sport 53 --dport 1024:65535 -j RETURN

-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 172.16.0.0/12

-A DOCKER-USER -j RETURN

-A ufw-docker-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW DOCKER BLOCK] "
-A ufw-docker-logging-deny -j DROP

COMMIT
# END UFW AND DOCKER

然后重启UFW，不生效则重启服务器

sudo systemctl restart ufw

现在外部就已经无法访问 Docker 发布出来的任何端口了

假设现在我有如下容器

容器1 端口映射：8081:8080 docker内部IP地址：172.17.0.1
容器2 端口映射：8082:8080 docker内部IP地址：172.17.0.2
容器3 端口映射：8083:8085 docker内部IP地址：172.17.0.3

允许访问端口

ufw route allow 8080

这儿8080是容器内部的端口，而不是映射出的docker端口，执行这个规则后，容器1和容器2都能被外部访问。

ufw route allow 8085

执行这个规则后，只有容器3都能被外部访问。

想要只有容器1被外部访问

ufw route allow from any to 172.17.0.1 port 8080

容器具体的IP地址可以通过下面的命令获得

docker network inspect bridge

可以在输出中找到容器的ip地址，如果使用了自定义网络，而不是默认的bridge网络，将bridge更换为自定义网络名。

参考文档

总结

以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。

您可能感兴趣的文章:

docker pure-ftp 搭建ftp服务器的方法
本篇文章主要介绍了docker pure-ftp 搭建ftp服务器的方法，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
2018-04-04
使用Docker快速搭建Airflow+MySQL详细步骤
本文详细介绍了如何使用Docker和Docker Compose安装并配置Apache Airflow 2.9.3,步骤包括创建项目目录、编写docker-compose.yml文件、创建所需目录结构、启动和管理Docker容器,以及如何访问和配置Airflow Web UI,感兴趣的朋友跟随小编一起看看吧
2024-09-09
深入解析docker文件分层原理
这篇文章主要介绍了docker文件分层,本文使用一个docker container示例，讲述docker的文件分层的一些原理，需要的朋友可以参考下
2022-04-04
Docker 容器内存监控原理及应用
这篇文章主要介绍了Docker 容器内存监控原理及应用的相关资料,需要的朋友可以参考下
2016-10-10
Windows Server 2012 R2 安装 Docker的详细步骤
这篇文章主要介绍了Windows Server 2012 R2 安装 Docker,在这个给大家说明下使用windows10、Windows Server 2016以上系统可直接使用安装包，低版本系统需要使用 Docker Toolbox 来进行安装使用 Docker，需要的朋友可以参考下
2022-04-04
Docker容器日志占用空间过大的解决方式
当我们尝试查看特定 Docker 容器的日志时,通常会使用 docker logs <容器名称> 命令,,然而,有时候会发现控制台持续输出日志信息,持续时间可能相当长,直到最终打印完成,导致日志积累过多,占用了系统磁盘空间,所以本文给大家介绍了解决方法,需要的朋友可以参考下
2024-03-03
如何使用Docker和cpolar在Linux服务器上搭建DashDot监控面板
本文主要介绍如何在Linux服务器上使用Docker和cpolar技术搭建DashDot监控面板,实现实时服务器监控,DashDot提供直观的监控界面和丰富的指标,通过cpolar可以实现公网访问,方便用户随时了解服务器状态,文章详细说明了环境准备、安装Docker、配置DashDot和cpolar的步骤
2024-09-09
docker 命令报异常permission denied的解决方案
这篇文章主要介绍了docker 命令报异常permission denied的解决方案，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
2021-03-03
Docker的进程和Cgroup概念详解
文章主要介绍了容器内的进程组织和关系,包括containerd-shim和容器内1号进程的角色和特点,以及信号处理机制,同时,文章还讨论了Cgroup在Linux系统中用于资源管理和控制的机制,包括CFS调度算法和Kubernetes中的资源管理,感兴趣的朋友跟随小编一起看看吧
2025-02-02
Docker compose启动服务遇到的问题小结
这篇文章主要介绍了Docker compose启动服务遇到的问题小结,这个是检验我们的docker compose掌握程度,因此里面的镜像没有提前拉取,挂载数据卷的目录也没有提前创建,本文给大家介绍的非常详细,需要的朋友可以参考下
2023-11-11