linux - Docker 在管理员添加的规则之上插入 iptable 后路由规则

Question

我不得不在 NAT 表、POSTROUTING 链中添加一些 iptable 条目，以允许 docker 容器通过主机 (to_source) 的不同源地址/源接口(interface)访问互联网。

一切正常。

例如:

target     prot opt source               destination
SNAT       all  --  100.100.8.0/22       10.1.2.3       to:100.64.0.5

但是，当 docker 服务重新启动时，它会在我的条目之上插入 MASQUERADE 规则，因此我上面的修复被屏蔽了。 Docker 容器现在无法访问互联网。

例如:

target     prot opt source               destination
MASQUERADE  all  --  100.100.8.0/22       0.0.0.0/0
SNAT        all  --  100.100.8.0/22       10.1.2.3       to:100.64.0.5

有没有办法让我的 POSTROUTING 规则即使在 docker 重新启动后也始终保持在链的顶部？

Answer 1

如果 Ubuntu 在您的主机上，您可以在启动 docker 守护进程后使用 iptables-save 实用程序将 iptables 规则保存到一个文件中。然后，一旦您清除了旧规则，您就可以使用 iptables-restore 和保存的规则文件简单地恢复原始的 docker 规则。

如果您不想恢复所有旧的 iptables 规则，您可以更改已保存的规则文件以仅保留您需要的规则。