ip route,ip rule, iptables和docker的端口映射

2022-07-11 13:01:59

iptables

默认5个表, 不可增加其他表

 raw 用于配置数据包，raw 中的数据包不会被系统跟踪。

 filter 是用于存放所有与防火墙相关操作的默认表。

 nat 用于 网络地址转换（例如：端口转发）。

 mangle 用于对特定数据包的修改（参考 损坏数据包）。

 security 用于 强制访问控制 网络规则

控制Linux內核 netfilter模組, 做数据包的过滤和转发，只是netfilter项目的一小部分

防火墙黑白名单

可以在内核层面将对80端口的访问直接映射到8080端口上

NAT, 将对本机的请求，转发到内部其他NAT ip上

下图中可以看到数据包是如何进入本地进程local process的

birdge check检查是否使用桥接网口

参考: https://wiki.archlinux.org/index.php/Iptables_(%E7%AE%80%E4%BD%93%E4%B8%AD%E6%96%87)

https://en.wikipedia.org/wiki/Netfilter

docker使用NAT时，docker命令也是操作iptables, 给在运行中的容器增加端口映射，需要手动执行iptables命令

iptables -t nat -A DOCKER -p tcp --dport 8001 -j DNAT --to-destination 172.17.0.19:8000

查看所有nat规则 iptables -t nat -L -n --line-numbers

删除一条nat规则 iptables -t nat -D POSTROUTING 2 ，最后一个数字为上一个命令打印的序号

增加路由，在本地机器上操作, 对应的文件是/etc/iproute2/rt_tables , 等同与netmanager中的操作命令route add default gw 10.0.0.1

255 local 254 main 253 default 默认的三个路由表, 可以增加自定义的路由表

路由规则, 路由表中的具体规则

出方向: ip route, ip rule决定了数据包在到达网口Interface时，需要经过的网关和路由器

docker的网络模型

bridge 默认使用docker0桥接网口

host 直接使用宿主机物理网卡

none

container

高级课题：docker容器配置独立ip (这个够阳春，没有实验出来) 端口如何开放？

pipework 需要使用none模式启动 https://github.com/jpetazzo/pipework#connect-a-container-to-a-local-physical-interface

https://blog.csdn.net/lvshaorong/article/details/69950694

SNAT,DNAT

http://cn.linux.vbird.org/linux_server/0250simple_firewall_5.php