Linux容器内临时封禁本地端口的非iptables实现方案有哪些？

你执行iptables报错是因为默认Docker容器未授予NET_ADMIN内核能力，没有权限修改系统网络规则。以下是无需iptables的可行解决方案：

方案1：本地端口占用（最便捷，无额外权限要求） #

利用TCP端口不可重复监听的特性，直接在cli容器内占用6379端口，即可阻断所有对localhost:6379的连接请求：

• 首先检查容器内是否有nc工具，没有的话先安装：

  apk add --no-cache netcat-openbsd
  

• 后台启动nc监听6379端口，丢弃所有流量：

  nc -l -p 6379 > /dev/null 2>&1 &
  # 记录输出的进程PID，后续恢复访问需要用
  echo $!
  

• 测试完成需要恢复访问时，直接杀掉对应进程即可：

  kill <上一步输出的PID>
  

方案2：LD_PRELOAD系统调用劫持（无端口占用残留，适配复杂场景） #

如果不想占用本地端口，可以通过LD_PRELOAD动态劫持connect系统调用，匹配到目标端口为6379时直接返回连接失败：

• 先安装编译依赖：

  apk add --no-cache gcc musl-dev
  

• 新建劫持代码文件block_6379.c：

  #define _GNU_SOURCE
  #include <sys/socket.h>
  #include <netinet/in.h>
  #include <dlfcn.h>
  #include <errno.h>
  
  int connect(int sockfd, const struct sockaddr *addr, socklen_t addrlen) {
      const struct sockaddr_in *in_addr = (const struct sockaddr_in *)addr;
      if (addr->sa_family == AF_INET && ntohs(in_addr->sin_port) == 6379) {
          errno = ECONNREFUSED;
          return -1;
      }
      static int (*original_connect)(int, const struct sockaddr *, socklen_t) = NULL;
      if (!original_connect) original_connect = dlsym(RTLD_NEXT, "connect");
      return original_connect(sockfd, addr, addrlen);
  }
  

• 编译为动态库：

  gcc -shared -fPIC -o block_6379.so block_6379.c -ldl
  

• 临时启用阻断：设置环境变量后，后续运行的所有命令都会自动阻断6379端口的连接：

  export LD_PRELOAD=$(pwd)/block_6379.so
  

• 恢复访问：

  unset LD_PRELOAD
  

方案3：追加容器权限（兼容原有iptables方案） #

如果还是想用iptables实现，只需修改Docker Compose配置给cli容器追加网络管理权限即可：

services:
  cli:
    image: node:latest-alpine
    cap_add:
      - NET_ADMIN
  redis:
    image: redis:latest-alpine

修改后重启cli容器，原来的iptables命令即可正常执行。

内容的提问来源于stack exchange，提问作者labega