RockyLinux容器网络策略配置（从零开始掌握容器网络安全与隔离）

一、为什么需要容器网络策略？

默认情况下，Docker 容器可以自由访问外部网络，同时外部也可以通过端口映射访问容器。这种开放性虽然便于开发调试，但在生产环境中存在巨大安全隐患。通过配置 RockyLinux防火墙规则 和容器网络策略，我们可以：

• 限制容器只能访问特定 IP 或端口
• 阻止未授权的外部访问
• 实现不同容器之间的Docker网络隔离
• 防止横向移动攻击

二、准备工作：安装必要组件

首先确保你的 Rocky Linux 系统已安装 Docker 和 firewalld（Rocky Linux 默认使用 firewalld 作为防火墙管理工具）：

# 安装 Dockersudo dnf install -y docker# 启动并启用 Docker 服务sudo systemctl enable --now docker# 确保 firewalld 已安装并运行sudo dnf install -y firewalldsudo systemctl enable --now firewalld

三、基础网络策略：限制容器出站流量

假设你有一个 Web 应用容器，只希望它能访问本地数据库（如 192.168.1.100:3306），而不允许访问其他任何外部资源。可以通过以下步骤实现：

1. 创建自定义 Docker 网络

docker network create --driver bridge restricted-net

2. 启动容器并加入该网络

docker run -d \  --name my-web-app \  --network restricted-net \  -p 8080:80 \  nginx

3. 配置 firewalld 规则限制出站

Docker 默认会绕过 firewalld 的 FORWARD 链，因此我们需要手动添加规则。首先查看容器所在网桥接口：

ip addr show | grep br-# 假设输出为 br-123456789abc

然后添加规则，只允许访问数据库 IP 和端口：

# 允许访问数据库sudo firewall-cmd --permanent \  --direct --add-rule ipv4 filter DOCKER-USER 0 \  -i br-123456789abc -d 192.168.1.100 -p tcp --dport 3306 -j ACCEPT# 拒绝其他所有出站sudo firewall-cmd --permanent \  --direct --add-rule ipv4 filter DOCKER-USER 1 \  -i br-123456789abc -j DROP# 重载防火墙sudo firewall-cmd --reload

四、进阶策略：容器间隔离

如果你有多个微服务容器，希望它们彼此隔离（例如前端不能直接访问数据库容器），可以创建多个 Docker 网络，并只将需要通信的服务加入同一网络：

# 创建前端网络docker network create frontend-net# 创建后端网络docker network create backend-net# 启动前端容器（仅加入前端网络）docker run -d --name web --network frontend-net nginx# 启动 API 容器（同时加入前后端网络）docker run -d --name api \  --network frontend-net \  --network backend-net \  your-api-image# 启动数据库容器（仅加入后端网络）docker run -d --name db --network backend-net mysql

这样，web 只能通过 api 访问 db，无法直接连接数据库，实现了安全的Docker网络隔离。

五、验证与排错

使用以下命令测试网络策略是否生效：

# 进入容器测试连通性docker exec -it my-web-app ping 192.168.1.100# 测试其他地址应失败docker exec -it my-web-app ping 8.8.8.8

如果策略未生效，请检查 firewalld 是否运行、规则是否正确加载，以及 Docker 是否使用了正确的网桥接口。

六、总结

通过合理配置 RockyLinux容器网络策略，结合 firewalld 和 Docker 网络功能，你可以有效提升容器环境的安全性。本文介绍的方法适用于大多数中小型部署场景，既满足了 容器网络安全配置 的基本需求，又保持了操作的简洁性。记住，安全不是一次性的任务，而是一个持续优化的过程。

希望这篇教程能帮助你掌握 RockyLinux防火墙规则 与 Docker网络隔离 的核心技巧！如有疑问，欢迎在评论区交流。