Docker官方postgres镜像如何限制来自宿主机网络的访问

问题1：未显式配置端口发布，为何宿主机可访问Postgres服务？如何限制访问？ #

首先明确：你给出的容器运行命令中没有-p/--publish参数，因此5432端口从未被发布到宿主机的公网网卡，你之前观察到的「宿主机可访问」是Docker网络的默认机制，不属于端口发布行为：

• Docker为每个自定义网桥网络都会在宿主机上创建对应的虚拟网卡，同时自动在宿主机路由表中添加指向Docker私有网络段的路由规则，因此宿主机本身天然可以直接访问所有容器的私有IP和监听端口，这是Docker的正常工作逻辑。
• 如果你只需要实现「禁止外网访问数据库」的目标，当前配置已经满足要求：Docker默认的iptables规则会阻止外网流量直接访问容器私有IP段，只有同一Docker网络内的容器、以及宿主机本地可以访问数据库。
• 如果你需要额外限制宿主机也无法访问数据库，可以通过添加iptables规则实现：
  1. 先查询db网络的网段，执行命令：docker network inspect db | grep Subnet，获取类似172.18.0.0/16的网段地址
  2. 加入禁止访问规则（该规则不会被Docker服务重启覆盖，可长期生效）：

  iptables -I DOCKER-USER -d 替换为你的db网段 -p tcp --dport 5432 -j DROP
  

问题2：当前场景是否存在额外安全隐患？ #

• 公网层面不存在安全隐患：5432端口并未对外发布，外网完全无法直接访问数据库。
• 若你的宿主机上存在不可信的本地用户，那么允许宿主机访问数据库确实比限制访问的安全性更低，但该风险的影响范围仅限宿主机本地，远小于端口对外发布的风险。
• 你原本的架构规划完全合理：业务容器和数据库放在同一自定义网络，仅对外发布业务容器的端口，外网只能访问业务服务，无法接触到数据库，该架构的安全性符合预期。

内容的提问来源于stack exchange，提问作者VisionsAndRevisions