iptables配置docker服务端口访问限制

服务器系统为 CentOS 7 PS：CentOS 7自带iptables，但不自带iptables-services，你有需要可以装，也可以不装，不影响本文的操作和阅读

遇到了一个需求，需要用iptables限制一个redis服务只能由指定的ip访问似乎不难，于是网上查了一波，首先查到了这个

# 配置IPTABLES
iptables -A INPUT -s 允许访问的ip -p tcp --dport 6379 -j ACCEPT
iptables -A INPUT -s 允许访问的ip -p tcp --dport 6379 -j ACCEPT
iptables -A INPUT -p tcp --dport 6379 -j REJECT
＃只允许配置的两个IP访问，注意一定要放在‘-A INPUT -p tcp --dport 6379 -j REJECT’的上面（如果放在下面是不生效的！！！！）

好像不难哈，赶紧实践一波执行完后使用iptables -L -n命令可以查看当前所有的iptables规则我们刚才执行的命令设置的是INPUT，所以我们这里只看INPUT

看起来没问题对吧然后他就有问题了说简单点就是，没任何效果，啥ip都能访问他于是我再测试了一次，这次我只执行禁止所有ip访问的命令，一个ip我都不允许很遗憾，并没有什么卵用，不管是别的服务器的redis-cli或着百度搜出来的端口扫描，统统都能访问所以是为什么呢

因为我的redis服务是用docker起的，docker自己会往系统中注册一个虚拟网卡叫docker0，访问docker服务的流量会直接被转发到这张网卡上，而因为docker0在linux系统中会被视为一张网卡，所以他的iptables规则是独有的，我们刚才设置的INPUT对docker服务是不生效的

iptables -I DOCKER -p tcp --dport 6379 -j DROP
iptables -I DOCKER -s 127.0.0.1 -p tcp --dport 6379 -j ACCEPT
iptables -L -n

就可以看到DOCKER规则中新增了两条，一条是禁止所有访问，一条是允许127.0.0.1访问这时再测试就如我们所愿了

细心的同学应该会发现我这次执行的命令是先禁止，后允许，而上面第一个代码块中的命令顺序是先允许后禁止，这两个顺序其实都是对的，因为第一个代码块中是iptables -A，-A的意思是加在最后，而iptables的匹配顺序是从上到下，所以用-A往最后追加的话，那就是【先写先匹配】 而第二个代码块中的写法是iptables -I，-I的意思是加在最前，也就是上面截图中的效果，大家可以看到我加的这两条，明显是在规则链的最前面，那用-I往前追加的话，就是【先写后匹配】了

到这里，我的需求，通过iptables限制6379端口只允许指定ip访问，已经实现了

但是我们刚才是通过写命令的方式实现的，这样进行的设置系统重启后就会消失要如何做到系统重启后依然有效呢

最后实现的效果就是，先将我们配置好的规则保存到备份配置文件中

iptables-save > /etc/sysconfig/iptables

或者用iptables-service保存【这个做法需要安装iptables-services，实际效果和上面那句一样】

service iptables save

然后在系统重启后手动加载此配置文件

iptables-restore < /etc/sysconfig/iptables

或着手动重启iptables【这个做法需要安装iptables-services】

systemctl restart iptables

然后就可以了

分析原因应该是：服务器重启后，iptables服务先启动，启动后会去加载备份的配置文件，但是此时，docker服务还未启动，DOCKER规则链还未创建，所以虽然iptables有加载我们备份的配置，但他没法加载DPOCKER规则链上的内容，从而导致我们写的DOCKER规则链上的规则没有成功加载

而docker启动后，DOCKER规则链就存在了，这时不管是手动让iptables加载配置文件还是直接重启iptables让他自己再读一遍配置，我们备份的DOCKER规则就都能成功加载了

iptables常用命令