Я развернул сервер Docker Swarm на своем VPS для обработки приложения Asp.Net Core. Я хочу обслуживать это приложение через веб-сервер Nginx.
Предположим, мое веб-приложение - это обычное приложение, которое я создал с помощью команды CLI .Net Core:
dotnet new webapp mywebapp
Dockerfile (упрощенный):
FROM mcr.microsoft.com/dotnet/core/sdk:3.0-alpine as builder
WORKDIR /app
COPY . .
RUN dotnet publish -c Release -o publish
WORKDIR /app/publish
ENTRYPOINT ["dotnet", "MyWebApp.dll"]
Мой docker-compose.yml выглядит так (упрощенно):
version: '3'
services:
app:
image: edouard/mywebapp:latest
ports:
- 9000:80
Моя конфигурация nginx выглядит так:
server {
listen 443 ssl;
server_name myservername.com;
ssl_certificate /path/to/ssl_certificate;
ssl_certificate_key /path/to/ssl_certificate_key;
location / {
proxy_pass http://localhost:9000;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection keep-alive;
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
server {
listen 80;
server_name myservername.com;
return 301 https://$host$request_uri;
}
Как видите, я использую Nginx в качестве обратного прокси-сервера, перенаправляя весь трафик HTTP / HTTPS с портов 80 и 443 на локальный порт 9000, который Docker Swarm сопоставляет с портом 80 внутри контейнера, на котором запущен сервер Kestrel. .
На https://myservername.com, все работает нормально. Но вот что: люди также могут получить доступ к моему веб-приложению через http://myservername.com:9000! Я этого не хочу.
Я предполагаю, что мне нужно настроить брандмауэр так, чтобы я разрешал трафик только на порт 80 и 443 (заботясь о разрешении порта 22 для SSH и т. Д.). Я прочитал несколько руководств, чтобы узнать, как это сделать, однако Docker Swarm также управляет брандмауэром!
Когда я запускаю sudo iptables -L -v:
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
3417 873K DOCKER-USER all -- any any anywhere anywhere
3417 873K DOCKER-INGRESS all -- any any anywhere anywhere
31 9043 DOCKER-ISOLATION-STAGE-1 all -- any any anywhere anywhere
0 0 ACCEPT all -- any docker0 anywhere anywhere ctstate RELATED,ESTABLISHED
0 0 DOCKER all -- any docker0 anywhere anywhere
0 0 ACCEPT all -- docker0 !docker0 anywhere anywhere
0 0 ACCEPT all -- docker0 docker0 anywhere anywhere
18 7620 ACCEPT all -- any docker_gwbridge anywhere anywhere ctstate RELATED,ESTABLISHED
0 0 DOCKER all -- any docker_gwbridge anywhere anywhere
13 1423 ACCEPT all -- docker_gwbridge !docker_gwbridge anywhere anywhere
0 0 DROP all -- docker_gwbridge docker_gwbridge anywhere anywhere
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain DOCKER (2 references)
pkts bytes target prot opt in out source destination
Chain DOCKER-ISOLATION-STAGE-1 (1 references)
pkts bytes target prot opt in out source destination
0 0 DOCKER-ISOLATION-STAGE-2 all -- docker0 !docker0 anywhere anywhere
13 1423 DOCKER-ISOLATION-STAGE-2 all -- docker_gwbridge !docker_gwbridge anywhere anywhere
31 9043 RETURN all -- any any anywhere anywhere
Chain DOCKER-ISOLATION-STAGE-2 (2 references)
pkts bytes target prot opt in out source destination
0 0 DROP all -- any docker0 anywhere anywhere
0 0 DROP all -- any docker_gwbridge anywhere anywhere
13 1423 RETURN all -- any any anywhere anywhere
Chain DOCKER-USER (1 references)
pkts bytes target prot opt in out source destination
3417 873K RETURN all -- any any anywhere anywhere
Chain DOCKER-INGRESS (1 references)
pkts bytes target prot opt in out source destination
1567 101K ACCEPT tcp -- any any anywhere anywhere tcp dpt:9000
1270 698K ACCEPT tcp -- any any anywhere anywhere state RELATED,ESTABLISHED tcp spt:9000
31 9043 RETURN all -- any any anywhere anywhere
Как мне настроить брандмауэр так, чтобы он не взаимодействовал с Docker Swarm? Я нашел некоторые части ответов:
Однако мне это кажется довольно сложным, и я удивлен, что в блогах Docker нет официального ответа на этот вопрос.
Версии:
Спасибо за вашу помощь.
Вы можете попробовать привязать localhost вместо адреса по умолчанию 0.0.0.0:
services:
app:
image: edouard/mywebapp:latest
ports:
- '127.0.0.1:9000:80'