Docker 中的 Nginx 状态页面

Question

我有一个服务器托管多个 Docker容器包括一个 Nginx 反向代理来提供内容。为了获取此服务器的状态，我添加了以下位置 block :

location /nginx_status {
    stub_status on;
    access_log  off;
    allow       127.0.0.1;
    allow       172.0.0.0/8;
    deny        all;
}

在正常情况下我只会打开 127.0.0.1 但这意味着主机无法访问(只有 Nginx 容器本身可以)所以我打开了所有 172 个地址。是否有更清洁/更安全的方式来执行此操作，或者我的方法是否适合生产环境？

Answer 1

当 docker 启动时 creates an interface docker0 that is an ethernet bridge , 并为其分配一个 IP 地址。 docker tries to choose a smart default , 172.17.0.0/16 范围是一个很好的默认值。主机会将发往该网络的所有流量路由到 docker0 网桥，除非您已映射端口，否则无法从外部访问它。

在你的问题中你允许 172.0.0.0/8，其中一些不是 RFC1918 private address space .您可以将其进一步限制为我之前链接的 Docker 网络驱动程序源中的所有地址，或者只是 172.17.0.0/16 因为它是列表中的第一个并且通常被使用。