Docker容器网络安全隔离配置方案及相关技术疑问

背景与安全隐患 #

刚接触Docker生态，容器化的一大优势是服务隔离，但这既非默认配置，也难以便捷实现。我的场景很常见：部署反向代理（如Traefik）与若干容器化服务，部分服务需访问互联网。常规指南推荐让反向代理（P）与服务A、B、C共用一个桥接网络，虽易部署，但存在安全隐患。

从安全角度看，这种配置下所有服务可在网络中互相可见。若使用forward-auth中间件（如Authelia）做认证，一旦某个服务被攻陷，攻击者可通过如下命令冒充其他用户访问其他服务：

container-a$ curl -H "Remote-User: admin" http://container-b:8080

甚至可通过ARP缓存欺骗捕获发往其他容器的所有网络流量。

目标配置要求 #

我需要配置容器，确保即便某一容器被攻陷（攻击者获取shell权限），其他服务仍安全。具体要求：

• 服务间无法互相通信
• 服务无法访问本地以太网
• Docker主机可正常访问本地以太网（不想隔离主机与以太网）
• 服务可访问互联网
  反向代理与各服务均使用独立的docker-compose.yml配置。

现有尝试方案 #

我最初尝试禁用容器间通信（enable_icc: false），但这无法阻止容器访问其他容器已发布的端口。经测试，我通过为每个服务创建独立的自定义桥接网络（即P<->A、P<->B、P<->C）实现了目标，例如：

docker network create proxy_A -o com.docker.network.bridge.name=br-a

将该网络连接至反向代理与对应服务。反向代理的docker-compose配置如下：

services:
  revproxy:
    networks:
      - proxy_A
      - proxy_B
      - proxy_C
[...]
networks:
  proxy_A:
    driver: bridge
    external: true
  proxy_B:
    driver: bridge
    external: true
  proxy_C:
    driver: bridge
    external: true

只要容器不发布无需反向代理访问的端口，即可实现隔离并允许联网。若服务无需联网，可将网络标记为--internal。但需联网的非内部网络会允许访问本地以太网，因此我为所有容器添加了如下自定义iptables规则：

# deny access to ethernet
iptables -I DOCKER-USER -i br-a -d 192.168.0.0/16 -j DROP # or probably better REJECT
# except for DNS
iptables -I DOCKER-USER -i br-a -d 192.168.1.1 -p udp --dport 53 -j ACCEPT
iptables -I DOCKER-USER -i br-a -d 192.168.1.1 -p tcp --dport 53 -j ACCEPT

该方案虽可行，但每个服务需手动创建网络、连接反向代理、配置iptables规则，工作量大。我尝试用包含include的docker-compose.yml整合配置：

version: '3'

include:
  - A/docker-compose.yml
  - B/docker-compose.yml
  - C/docker-compose.yml

networks:
  proxy_A:
    driver: bridge
    driver_opts:
      com.docker.network.bridge.name: br-a
  [...]

但未找到在docker-compose.yml中添加iptables规则的方法。

疑问 #

1. 容器专属的iptables规则应配置在何处，才能在容器启动时自动加载？
2. 是否有更优方案可实现上述目标，最好完全在服务的docker-compose.yml中完成，无需修改反向代理配置、执行docker network connect或手动配置iptables？就像使用Traefik的Docker Provider那样，启动新服务容器即可通过反向代理访问。

解答 #

针对疑问1：自动加载容器专属iptables规则 #

可通过以下几种方式实现自动加载：

1. Docker守护进程钩子脚本：Docker 20.10+版本支持在/etc/docker/daemon.json配置hooks，触发容器启停时的自定义脚本添加/移除规则。示例配置：

   {
     "hooks": {
       "post-start": ["/usr/local/bin/docker-post-start.sh"],
       "post-stop": ["/usr/local/bin/docker-post-stop.sh"]
     }
   }
   

   脚本中可通过docker inspect获取容器所属网络，动态添加对应iptables规则。

2. systemd服务依赖：编写systemd服务，在Docker启动后执行规则配置脚本，同时添加ExecStop指令清理规则，适合静态网络规则的场景。

3. 容器启动脚本注入：在服务的docker-compose.yml中，为容器添加entrypoint或command，先执行添加规则的脚本（需给容器CAP_NET_ADMIN权限），再启动主进程。这种方式规则在容器内生效，仅限制当前容器出站流量。

针对疑问2：更优的无侵入隔离方案 #

推荐结合Docker网络属性+Traefik动态发现+自动网络连接脚本，无需修改反向代理配置：

1. 为每个服务配置专属隔离网络：
   在服务的docker-compose.yml中定义专属网络，开启internal: true禁止服务间直接通信，同时添加Traefik自动发现标签：

   version: '3.8'
   services:
     service-a:
       image: your-service-image
       networks:
         - service-a-net
       labels:
         - traefik.enable=true
         - traefik.http.routers.service-a.rule=Host(`service-a.example.com`)
         - traefik.http.services.service-a.loadbalancer.server.port=8080
         - traefik.docker.network=service-a-net
   
   networks:
     service-a-net:
       driver: bridge
       internal: true
       ipam:
         config:
           - subnet: 172.20.0.0/24
       driver_opts:
         com.docker.network.bridge.name: br-a
   

2. 自动让反向代理接入服务网络：
   编写监控脚本监听Docker容器启停事件，自动将Traefik容器连接到服务的专属网络：

   #!/bin/bash
   docker events --filter 'type=container' --filter 'event=start' | while read event; do
     CONTAINER_ID=$(echo $event | awk '{print $NF}')
     NETWORK_NAME=$(docker inspect --format '{{ index .Config.Labels "traefik.docker.network" }}' $CONTAINER_ID)
     if [ ! -z "$NETWORK_NAME" ]; then
       docker network connect $NETWORK_NAME traefik-container-name
     fi
   done
   

   将脚本注册为systemd服务，即可实现服务启动时自动完成网络连接。

3. 解决服务联网需求：
   创建专用的互联网访问网络，通过主机iptables规则限制其仅能访问互联网：

   docker network create internet-net -o com.docker.network.bridge.name=br-internet
   # 禁止访问本地私有网段
   iptables -I DOCKER-USER -i br-internet -d 192.168.0.0/16 -j REJECT
   iptables -I DOCKER-USER -i br-internet -d 10.0.0.0/8 -j REJECT
   iptables -I DOCKER-USER -i br-internet -d 172.16.0.0/12 -j REJECT
   

   在服务的docker-compose.yml中添加该网络即可实现互联网访问：

   services:
     service-a:
       networks:
         - service-a-net
         - internet-net
   networks:
     internet-net:
       external: true
   

该方案仅需在服务配置中添加标签和网络，配合自动连接脚本即可实现隔离需求，操作体验接近Traefik Docker Provider的自动发现特性。

内容的提问来源于stack exchange，提问作者buergi