如何阻止容器端口暴露公网但保留其互联网访问权限？

方法一：修改Docker端口绑定（推荐） #

直接调整Jenkins容器的端口映射规则，仅将端口绑定到本地回环地址（127.0.0.1），这样公网无法访问这些端口，同时完全不影响容器的互联网访问能力。

1. 先停止并删除现有Jenkins容器：

docker stop jenkins
docker rm jenkins

2. 重新启动容器，修改-p参数：

docker run --name jenkins --restart=on-failure -d \
  --network jenkins --env DOCKER_HOST=tcp://docker:2376 \
  --env DOCKER_CERT_PATH=/jenkincerts/client --env DOCKER_TLS_VERIFY=1 \
  -p 127.0.0.1:8180:8080 -p 127.0.0.1:50000:50000 \
  -v jenkins-home:/var/jenkins_home \
  -v docker-certs-jk:/jenkincerts/client:ro \
  myjenkin

修改后端口仅监听本地回环，公网无法触及，容器的出站请求不受任何限制。

方法二：修正iptables规则 #

如果不想重建容器，可以删除之前的错误规则，添加精准的端口拦截规则：

1. 删除原有错误规则：

iptables -D DOCKER-USER -i eth0 ! -s 127.0.0.1 -j DROP

2. 添加针对Jenkins端口的拦截规则：

# 允许本地访问Jenkins的8180和50000端口
iptables -I DOCKER-USER -i eth0 -s 127.0.0.1 -p tcp --dport 8180 -j ACCEPT
iptables -I DOCKER-USER -i eth0 -s 127.0.0.1 -p tcp --dport 50000 -j ACCEPT

# 禁止公网IP访问这两个端口
iptables -I DOCKER-USER -i eth0 -p tcp --dport 8180 -j DROP
iptables -I DOCKER-USER -i eth0 -p tcp --dport 50000 -j DROP

如果需要允许内网其他IP访问（比如内网段为192.168.1.0/24），可以追加以下规则：

iptables -I DOCKER-USER -i eth0 -s 192.168.1.0/24 -p tcp --dport 8180 -j ACCEPT
iptables -I DOCKER-USER -i eth0 -s 192.168.1.0/24 -p tcp --dport 50000 -j ACCEPT

问题原因 #

你之前添加的iptables规则过于宽泛，它会丢弃所有从eth0接口进入的、源IP不是127.0.0.1的流量——这包括Jenkins访问互联网后返回的响应数据包，导致容器无法接收外部返回的数据，表现为无法访问互联网。

而精准的端口拦截规则只针对外部主动访问Jenkins服务的端口，不会影响容器主动发起的出站请求的响应流量，因此能同时实现端口的公网隔离和容器的互联网访问。

内容的提问来源于stack exchange，提问作者Lê Đôn