Docker Swarm中服务绑定localhost仍可公网访问的问题求助

你遇到的问题确实是Docker Swarm模式下的一个常见特性限制：Swarm的路由网格（Routing Mesh）会忽略ports配置中的127.0.0.1绑定规则，默认将服务端口暴露在集群所有节点的所有网络接口上，这就是为什么你绑定localhost后公网仍能访问的原因。下面是几个可行的解决方案：

方案1：禁用路由网格，让端口仅绑定到部署节点的localhost #

Swarm的endpoint_mode: host配置会绕过路由网格，直接将服务端口绑定到服务运行的节点上，此时你指定的127.0.0.1绑定规则会生效。修改你的docker-compose.yml如下：

version: "3"
networks:
  api-net:
    ipam:
      config:
        - subnet: 10.0.10.0/24
services:
  health-api:
    image: myprivateregistry:5000/healthapi:qa
    ports:
      - "127.0.0.1:9010:9010"
    networks:
      - api-net
    depends_on:
      - config-server
    deploy:
      mode: replicated
      replicas: 1
      placement:
        constraints:
          - node.role == manager
      endpoint_mode: host  # 新增这一行，禁用路由网格

重新部署栈后，端口只会绑定在管理节点的localhost上，外部无法访问。注意这个方案的局限性：如果你的服务有多个副本，每个副本会在各自运行的节点上绑定端口，路由网格的负载均衡功能会失效。

方案2：移除端口映射，通过Swarm内部网络访问 #

如果这个health-api只需要被集群内的其他服务（比如config-server）访问，完全不需要暴露到主机端口，那么可以直接删除ports配置。Swarm的overlay网络（这里的api-net）支持服务发现，其他服务可以通过health-api:9010直接访问该服务，端口不会暴露到任何主机接口，安全性最高。

修改后的服务配置简化为：

services:
  health-api:
    image: myprivateregistry:5000/healthapi:qa
    networks:
      - api-net
    depends_on:
      - config-server
    deploy:
      mode: replicated
      replicas: 1
      placement:
        constraints:
          - node.role == manager

方案3：通过节点防火墙限制端口访问 #

如果必须保留路由网格的负载均衡功能（比如未来要扩展多个副本），可以在管理节点上配置防火墙规则，仅允许localhost访问9010端口。

以UFW为例（Ubuntu/Debian系统）： #

1. 允许localhost访问9010端口：

ufw allow in from 127.0.0.1 to any port 9010

2. 拒绝所有外部对9010端口的访问：

ufw deny 9010

3. 重启UFW生效：

ufw reload

以iptables为例： #

iptables -A INPUT -p tcp --dport 9010 ! -s 127.0.0.1 -j DROP

这条规则会丢弃所有非localhost来源的9010端口请求。

内容的提问来源于stack exchange，提问作者Tara Prasad Gurung