Docker桥接模式下非HTTP服务获取用户真实IP的安全方案

针对你的需求——在容器间无法通信的前提下，让Minecraft这类非HTTP服务获取用户真实IP而非网关IP，以下是三种可行方案：

方案一：Macvlan网络直接绑定物理接口（性能最优） #

Macvlan允许容器直接获取宿主机所在网段的独立IP，外部请求无需NAT即可直达容器，天然支持真实IP透传。同时通过为每个服务分配独立Macvlan网络，实现容器间隔离。

操作步骤： #

1. 创建专属Macvlan网络（替换网段、网关、物理网卡为你的实际配置）：

docker network create -d macvlan \
  --subnet=192.168.1.0/24 \
  --gateway=192.168.1.1 \
  --ip-range=192.168.1.100/28 \
  -o parent=eth0 mc-macvlan

其他服务（如Web、数据库）需创建独立的Macvlan网络，确保彼此无法通信。

2. 启动Minecraft容器并绑定该网络：

docker run -d \
  --name minecraft-server \
  --network mc-macvlan \
  --ip 192.168.1.101 \
  itzg/minecraft-server

直接通过192.168.1.101:25565访问服务器，Minecraft将直接获取客户端真实IP。

方案二：iptables DNAT转发+IP透传（兼容默认桥接） #

通过手动配置iptables规则实现端口转发，同时保留源IP；配合Docker的容器间隔离配置，满足安全要求。

操作步骤： #

1. 开启Docker容器间隔离：
   编辑/etc/docker/daemon.json，添加如下配置：

{
  "icc": false,
  "iptables": true
}

重启Docker生效：

systemctl restart docker

2. 启动Minecraft容器（不映射端口）：

docker run -d \
  --name minecraft-server \
  itzg/minecraft-server

获取容器内部IP：

docker inspect minecraft-server | grep -oP '"IPAddress": "\K[^"]+'

假设输出为172.17.0.2。

3. 添加iptables转发规则：

# TCP规则
iptables -t nat -A PREROUTING -p tcp --dport 25565 -j DNAT --to-destination 172.17.0.2:25565
iptables -t filter -A FORWARD -p tcp -d 172.17.0.2 --dport 25565 -j ACCEPT

# UDP规则（Minecraft必需）
iptables -t nat -A PREROUTING -p udp --dport 25565 -j DNAT --to-destination 172.17.0.2:25565
iptables -t filter -A FORWARD -p udp -d 172.17.0.2 --dport 25565 -j ACCEPT

外部请求通过宿主机25565端口访问时，源IP会直接透传给Minecraft容器。

方案三：Traefik TCP/UDP代理（多服务统一管理） #

Traefik支持非HTTP协议的代理透传，同时可通过网络配置实现容器间隔离，适合多服务统一运维的场景。

操作步骤： #

1. 创建隔离的代理网络：

docker network create -d bridge --icc=false traefik-proxy

--icc=false确保该网络内的容器无法直接通信，仅Traefik可与后端服务交互。

2. 启动Traefik并开启TCP/UDP监听：

docker run -d \
  --name traefik \
  --network traefik-proxy \
  --publish 25565:25565/tcp \
  --publish 25565:25565/udp \
  --volume /var/run/docker.sock:/var/run/docker.sock \
  traefik:v2.10 \
  --providers.docker=true \
  --providers.docker.exposedbydefault=false \
  --entrypoints.mc-tcp.address=:25565/tcp \
  --entrypoints.mc-udp.address=:25565/udp

3. 启动Minecraft容器并配置Traefik路由：

docker run -d \
  --name minecraft-server \
  --network traefik-proxy \
  --label "traefik.enable=true" \
  --label "traefik.tcp.routers.mc.rule=HostSNI(`*`)" \
  --label "traefik.tcp.routers.mc.entrypoints=mc-tcp" \
  --label "traefik.tcp.services.mc.loadbalancer.server.port=25565" \
  --label "traefik.udp.routers.mc.rule=HostSNI(`*`)" \
  --label "traefik.udp.routers.mc.entrypoints=mc-udp" \
  --label "traefik.udp.services.mc.loadbalancer.server.port=25565" \
  itzg/minecraft-server

Traefik会自动完成端口转发并透传真实IP到Minecraft容器。

方案对比 #

内容的提问来源于stack exchange，提问作者Alpaca0x0