Docker:仅限制与本地主机的传出连接，同时允许所有传入连接

Question

我的 docker 容器中的一些程序正在发出不需要的请求，例如Google Analytics 和其他跟踪软件，共享我的信息。我想阻止所有这些流量，同时仍然能够从外部访问 docker。

我尝试添加 --network=host，它工作正常，只允许从容器内部访问本地主机，但也阻止了所有外部传入连接。

有没有办法限制仅与本地主机的传出连接，同时仍然允许传入的外部连接？我只想在特定的 docker 容器上执行此操作，而不是对我的整个系统执行此操作。

欢迎任何反馈。

Answer 1

我在另一个 thread 中找到了解决我问题的有效方法:

docker network create --subnet 172.19.0.0/16 no-internet
sudo iptables --insert DOCKER-USER -s 172.19.0.0/16 -j REJECT --reject-with icmp-port-unreachable
sudo iptables --insert DOCKER-USER -s 172.19.0.0/16 -m state --state RELATED,ESTABLISHED -j RETURN

启动 docker 容器时添加:

--network no-internet

此后，我无法从容器内部连接到互联网。但是，我仍然可以从外部访问容器端口。