Início / server / Perguntas / 798986
Accepted
davidA
Asked: 2016-08-25 21:47:24 +0800 CST

Usando o redirecionamento de porta iptables com docker

  • 772

Eu tenho um servidor Linux executando Jenkins (HTTP na porta 8080) e o mesmo servidor também está executando o Docker 1.12.1. Usei algumas regras do iptables (conforme os documentos oficiais de instalação do Jenkins) para redirecionar a porta 8080 para a porta 80 do host, para que o HTTP padrão funcionasse para o Jenkins (ou seja http://myserver, em vez de http://myserver:8080):

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
iptables -t nat -I OUTPUT -p tcp -d 127.0.0.1 --dport 80 -j REDIRECT --to-ports 8080

No entanto, essas regras quebram a capacidade do Docker de baixar os recursos corretos via HTTP durante um docker buildcomando. Por exemplo, RUN apt-get updatefalha com vários erros "falha ao baixar". Fazer wget http://www.google.comdentro do container retorna o HTML para a página principal do Jenkins. HTTP GETs do host funcionam bem. A remoção das regras do iptables resulta no RUN apt-get updatefuncionamento novamente. Então, acho que essas regras do iptables estão interferindo no mecanismo de rede do docker.

Esse redirecionamento de porta pode coexistir com o Docker? Em caso afirmativo, como alguém escreveria regras do iptables para resolver esse problema?

port-forwarding iptables docker jenkins redirection

1 respostas

  1. Best Answer

    Uma possível modificação nas regras do iptables é remover ambos e substituir por:

    iptables -t nat -A PREROUTING -p tcp -m tcp -i eth0 --dport 80 -j REDIRECT --to-ports 8080

    Isso garantirá que, no meu caso, apenas o tráfego TCP na porta 80 através da interfaceeth0 seja redirecionado. O tráfego originado de um contêiner docker no host não será redirecionado. Observe que deixei de fora o redirecionamento de localhost também, embora presumivelmente isso possa ser modificado para evitar a filtragem de qualquer coisa originária de interface docker0.

    Outra solução é empregar um proxy reverso para encaminhar as solicitações HTTP recebidas na porta TCP 80 para a porta 8080 do host. Usei o Caddy com o seguinte Caddyfile simples:

    localhost:80
proxy / localhost:8080

    Com isso instalado, posso remover totalmente as regras do iptables.

    Isso parece fornecer um redirecionamento simples na porta 80, além de permitir que os contêineres do docker usem HTTP de saída normalmente.

    • 7

relate perguntas