Como bloquear as portas mapeadas do docker com um firewall de fora do host sem bagunçar o roteamento do docker dentro do host?

Question

Eu tenho um contêiner docker rodando em um host com alguma porta mapeada para uma porta no host.

docker run -d -p 9009:9009 someserver

Eu quero essa máquina com firewall da Internet, exceto 80, 443 e 22.

Mas ainda quero que os processos dentro do host possam se conectar ao 9009.

Fiquei um pouco chocado ao descobrir que o docker parece contornar completamente as regras de firewall para descartar pacotes.

Eu experimentei o centos 7 com firewalld e iptables para bloquear tudo, exceto 80, 443 e 22. De alguma forma, eu ainda consegui chegar ao docker port- recipiente mapeado (porta 9009) de fora do host! Algumas soluções que encontrei parecem atrapalhar o roteamento totalmente para o docker - ou fazer com que os contêineres do Docker não consigam acessar a Internet ou qualquer outra coisa.

O meu cenário é possível?

Isso parece estar fazendo a mesma pergunta: link

    

Answer 1

Parece que posso vincular minhas portas de contêiner expostas apenas ao host local.

docker run -d -p 127.0.0.1:9009:9009 someserver