允许在不同桥接网络上的两个 Docker 容器之间在特定端口上进行通信

Question

前言：这个问题与 Allow communication between two docker bridge networks using docker-compose 类似，但那个问题已有 4 年以上历史，所以我觉得最好问一个新问题。

我有两个 bridge 网络和两个容器，每个网络一个。我想弄清楚如何使一个容器上的端口可供另一个容器使用。

$ docker network create net1
$ docker network create net2

$ docker run -it -d --net=net1 --name container1 -p 1234:80 ....
$ docker run -it -d --net=net2 --name container2 -p 5678:80 ....

现在，我希望 container1 能够调用 container2:80 和 container2:4321，但我不知道该怎么做。

我正在尝试 不使用 macvlan 驱动程序。

Answer 1

我在所有容器中打开特定端口号的情况下限制较少。容器通过使用主机 IP 和公开的端口号相互通信。

在我的例子中，除了连接到自定义网络之外，我还将容器连接到默认的 bridge 网络。默认网络不允许容器之间通信。

然后在 iptables 中，我创建了一个新管道并将 docker0（bridge 网络）连接到它

-F FILTERS
-A DOCKER-USER -i docker0 -o docker0 -j FILTERS

并允许列入白名单的端口号

-A FILTERS -p tcp --dport 1234 -m state --state NEW -j ACCEPT -m comment --comment container1
-A FILTERS -p tcp --dport 5678 -m state --state NEW -j ACCEPT -m comment --comment container2

您可以尝试收紧限制，通过

未连接默认 bridge 网络
通过ip link show和ifconfig找到net1和net2的网络接口
将管道更改为

-F CONTAINER1-CONTAINER2
-F CONTAINER2-CONTAINER1
-A DOCKER-USER -i br-xxxx -o br-yyyy -j CONTAINER1-CONTAINER2
-A DOCKER-USER -i br-yyyy -o br-xxxx -j CONTAINER2-CONTAINER1

修改端口列表为

-A CONTAINER2-CONTAINER1 -p tcp --dport 1234 -m state --state NEW -j ACCEPT -m comment --comment container1
-A CONTAINER1-CONTAINER2 -p tcp --dport 5678 -m state --state NEW -j ACCEPT -m comment --comment container2

允许在不同桥接网络上的两个 Docker 容器之间在特定端口上进行通信

Allow communication on specific ports between two Docker containers on different bridge networks

docker

docker-networking

docker-network