CSF防火墙下，如何放行本地到Docker容器的所有连接？

我之前也碰到过一模一样的情况——CSF默认的规则会干扰Docker端口映射的本地访问，尤其是当你用127.0.0.1连接主机映射端口时。下面是几个靠谱的解决方法，按从简单到灵活的顺序来：

方法一：启用CSF的Docker自动适配（推荐） #

CSF本身就内置了Docker支持，只需修改配置打开这个功能就能一键解决：

1. 编辑CSF的主配置文件：

   nano /etc/csf/csf.conf
   

2. 找到ALLOW_DOCKER选项，把它的值改成1：

   ALLOW_DOCKER = 1
   

   这个设置会让CSF自动识别Docker创建的网桥和端口映射，自动放行本地与容器之间的所有相关流量。
3. 重启CSF使配置生效：

   csf -r
   

方法二：手动添加Docker网段到LOCALNET #

如果方法一不适用（比如你需要更精细的访问控制），可以手动把Docker的内部网段加入CSF的本地信任网络：

1. 先查看Docker默认网桥的子网段：

   docker network inspect bridge | grep Subnet
   

   通常输出会是类似"Subnet": "172.17.0.0/16"的内容，记下这个网段。
2. 编辑/etc/csf/csf.conf，找到LOCALNET配置项，把刚才的Docker网段添加进去（保留原有网段，只追加新的）：

   LOCALNET = "127.0.0.1/32,192.168.0.0/16,10.0.0.0/8,172.16.0.0/12,172.17.0.0/16"
   

3. 重启CSF：

   csf -r
   

方法三：放行本地到映射端口的流量（针对单个端口） #

如果你只需要放行特定的映射端口（比如你例子中的6000），可以直接在CSF的允许列表里添加精准规则：

1. 编辑/etc/csf/csf.allow，添加以下两行：

   tcp|in|d=6000|s=127.0.0.1/32
   tcp|out|d=127.0.0.1/32|s=6000
   

   这两行分别允许本地127.0.0.1访问主机的6000端口，以及反向的回传流量。
2. 重启CSF：

   csf -r
   

现在再测试你的mysql -h 127.0.0.1 --port 6000 -u root -ppass命令，应该就能正常连接了。

内容的提问来源于stack exchange，提问作者Harris