macOS环境下Linux iptables命令的等效替代方案咨询

问题场景 #

• 设备从Linux切换至macOS，基于docker-compose部署Symfony应用
• 应用依赖socks5代理建立SSH隧道，代理配置为SYMFONY_APP_PROXY=socks5h://172.17.0.1:8086
• Linux环境下原有配置流程包含iptables放通Docker容器对应接口入站流量的步骤，需要macOS下的等效实现

原有Linux配置命令清单：

# 获取Symfony容器IP地址
docker inspect symfony_app | grep IPAddress | awk '{print $2}'
# 获取Docker网段对应网关地址
ip route get 172.18.0.0 | awk '{print $4}'
# 放通对应Docker接口的入站流量
sudo iptables -I INPUT 1 -i <docker-container-id> -j ACCEPT
# 建立SSH动态端口转发提供socks5代理
ssh -D 172.17.0.1:8086 -v davchs@some.example.com

实现步骤 #

macOS原生使用*pf（Packet Filter）*作为防火墙组件，完全替代iptables实现流量管控，对应放通Docker接口入站流量的操作如下：

1. 确认Docker虚拟网桥接口名
   Docker Desktop for Mac默认使用bridge100作为虚拟网桥接口，可通过以下命令验证，输出结果中匹配172.17.0.1所属的接口名即为目标接口：

ifconfig | grep -B2 172.17.0.1

2. 编写pf放通规则
   新建规则文件（测试场景可直接存放在用户目录，生产持久化场景建议存放在/etc/pf.anchors/路径下），写入以下规则，将<bridge-interface-name>替换为上一步查到的实际接口名（例如bridge100）：

# 放通Docker网桥接口所有入站流量
pass in on <bridge-interface-name> all

3. 加载规则并启用pf
   执行以下命令加载自定义规则，若pf未启动则同步启用：

# 加载自定义规则
sudo pfctl -f <你的规则文件路径>
# 启用pf（已启用可跳过）
sudo pfctl -e

注意事项 #

• Docker Desktop for Mac的网络模型与Linux原生Docker存在差异，若执行ssh -D 172.17.0.1:8086时提示地址绑定失败，可先将绑定地址改为0.0.0.0:8086，同时将Symfony应用的代理配置修改为SYMFONY_APP_PROXY=socks5h://host.docker.internal:8086即可正常连通，host.docker.internal是Docker Desktop内置的宿主机解析域名，无需额外配置路由。
• 若需要规则持久化生效（重启不丢失），不要直接修改系统默认的/etc/pf.conf文件（会被系统更新覆盖），可将规则文件存放在/etc/pf.anchors/目录下，在/etc/pf.conf的规则段末尾添加load anchor "docker" from "/etc/pf.anchors/<你的规则文件名>"后重新加载pf即可。
• 加载自定义pf规则不会破坏macOS系统防火墙的原有配置，仅会追加自定义的流量管控规则。

内容的提问来源于stack exchange，提问作者davchs