主页 / server / 问题 / 1092778
Accepted
Matt Olan
Asked: 2022-02-06 08:49:23 +0800 CST

确保 Swarm 中节点的 Docker 流量仅通过 VPN 连接

  • 772

我在 Docker Swarm 集群中有两个节点。其中一个节点与接口上的 VPN 提供商有一个 OpenVPN 客户端连接tun0。我的目标是，

  • 分配给该节点的任何服务都专门使用 VPN 连接
  • 无泄漏（即 DNS 或其他流量）
  • 如果 VPN 断开连接，所有流量都会被丢弃
  • 允许服务发现和连接到 Swarm 中的其他容器

对于 DNS，我添加了一个dns条目，/etc/docker/daemon.json该条目使用只能通过 VPN 访问的 VPN 提供商的 DNS 服务器。

以下是我想出的 iptable 规则：

iptables -I DOCKER-USER 1 -o tun0 -j ACCEPT
iptables -I DOCKER-USER 2 -i tun0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I DOCKER-USER 3 -j DROP

生成的DOCKER-USER链如下所示：

Chain DOCKER-USER (1 references)
 pkts bytes target     prot opt in     out     source               destination
    0     0 ACCEPT     all  --  *      tun0    0.0.0.0/0            0.0.0.0/0
    0     0 ACCEPT     all  --  tun0   *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0

nslookup从运行和打开和关闭 VPN 连接等基本测试来看curl，这些规则似乎有效，但我对 iptables 的经验很少。这是这样做的正确方法吗？

openvpn iptables docker docker-swarm

1 个回答

  1. Best Answer

    IPtables 是线性的，它从上到下读取规则，直到到达 ACCEPT、REJECT 或 DROP 目标，然后停止读取规则。在您的情况下，您希望拥有iptables -I DOCKER-USER -j DROP链中的最后一条规则，否则每个数据包都将被丢弃。此外，最后不需要 RETURN 规则，因为 IPtables 一旦到达其上方的 DROP 规则，就会停止读取规则。那些带有 tun0 的 IPtables 规则看起来不错，但请确保您也有这些规则：

    iptables -t filter -I INPUT 1 -i tun0 -j DOCKER-USER
iptables -t filter -I OUTPUT 2 -o tun0 -j DOCKER-USER

    为了获得良好的实践，请确保您接受所有环回流量，这些流量永远不会到达互联网，也不会离开机器：

    iptables -t filter -I INPUT 3 -i tun0 -j ACCEPT

    让我们一一了解您的要求：

    1. 分配给该节点的任何服务都专门使用 VPN 连接

    您不会使用 IPtables 来执行此操作。在服务器上运行这些命令：

    ip route add default via ${LOCAL_VPN_IP}

    我认为 OpenVPN 通常使用 10.8.0.0/16，所以默认网关可能是 10.8.0.1 或类似的东西。IProute2（ip 命令）内置在内核中，就像 IPtables 一样。

    1. 无泄漏（即 DNS 或其他流量）

    您应该首先将所有流量通过 VPN 重定向到您的 OpenVPN 的服务器配置中：

    push "redirect-gateway autolocal"

    这使得客户端将所有流量都通过 VPN，甚至 DNS 等。如果 OpenVPN 服务器出现故障，互联网将停止在客户端上运行。

    1. 如果 VPN 断开连接，所有流量都会被丢弃

    见步骤 2

    1. 允许服务发现和连接到 Swarm 中的其他容器

    我相信 OpenVPN 默认会这样做。我能够从一个客户端 ping/arp 到 OpenVPN 服务器上的其他客户端。您绝对应该能够访问其他客户端上的服务。

    我希望这能回答你的问题！

    • 1

相关问题