chaifeng/ufw-docker-agent

ufw-docker：修复Docker与UFW安全漏洞的解决方案

镜像概述和主要用途

ufw-docker是一个用于解决Docker与UFW（Ubuntu上流行的iptables前端）之间安全冲突的解决方案。当Docker安装后，其默认网络配置会绕过UFW防火墙规则，导致容器通过-p选项发布的端口可被外部网络访问，即使UFW已配置阻止该端口。本方案无需禁用Docker的iptables功能，通过修改UFW配置和提供专用工具，实现对Docker容器端口的安全管控，确保公共网络仅能访问明确允许的端口，同时保持容器间、内部网络的正常通信。

核心功能和特性

核心功能

• 阻止未授权访问：默认阻止公共网络访问Docker发布的所有端口，即使端口绑定到主机所有IP（如-p 0.0.0.0:8080:80）。
• 保持Docker网络功能：无需禁用Docker的iptables管理，容器间、容器与内部网络可正常通信，容器可访问外部网络。
• 统一规则管理：通过UFW原生命令（如ufw route）管理容器端口访问权限，无需额外工具。
• 支持Docker Swarm：提供ufw-docker工具，支持Swarm模式下的服务端口管控。

关键特性

• 最小配置修改：仅需修改UFW配置文件/etc/ufw/after.rules，Docker配置保持默认。
• 细粒度控制：可按容器端口、容器IP、协议（TCP/UDP）精确允许/拒绝访问。
• 日志记录：对被阻止的访问请求记录日志，便于审计和问题排查。
• 兼容性：支持新版Ubuntu（带ufw route命令）和Docker Swarm模式。

使用场景和适用范围

适用场景

• 公共服务器部署：在暴露于公网的服务器上运行Docker容器，需严格控制端口访问。
• 多容器环境：服务器上运行多个容器，需区分内部服务与外部可访问服务。
• Docker Swarm集群：在Swarm模式下管理跨节点的容器服务端口访问。
• 安全合规要求：需符合网络安全规范，确保未授权端口不暴露公网。

适用系统

• 操作系统：Ubuntu（推荐16.04+，支持ufw route命令）。
• Docker环境：Docker Engine（默认配置，启用iptables）、Docker Swarm。
• 防火墙：UFW（Uncomplicated Firewall）。

详细使用方法和配置说明

前置条件

• 已安装Docker且启用iptables（默认配置，无--iptables=false修改）。
• UFW已启用，默认策略为阻止未允许的入站连接。
• 若之前按其他方案修改过UFW或Docker配置，需先恢复默认（见下文“撤销原有修改”）。

步骤1：撤销原有修改

若已尝试过其他解决方案，需先恢复默认配置：

1. 启用Docker iptables：删除/etc/docker/daemon.json中"iptables": false等禁用iptables的配置，重启Docker：

   bash
   sudo systemctl restart docker
   

2. 恢复UFW默认转发规则：确保UFW的FORWARD链默认策略为DROP（而非ACCEPT）。
3. 清理UFW配置：删除/etc/ufw/after.rules中与Docker相关的手动添加规则。

步骤2：修改UFW配置

通过修改UFW配置文件实现对Docker端口的管控：

1. 编辑/etc/ufw/after.rules，在文件末尾添加以下规则：

   bash
   # BEGIN UFW AND DOCKER
   *filter
   :ufw-user-forward - [0:0]
   :ufw-docker-logging-deny - [0:0]
   :DOCKER-USER - [0:0]
   -A DOCKER-USER -j ufw-user-forward
   
   -A DOCKER-USER -j RETURN -s 10.0.0.0/8
   -A DOCKER-USER -j RETURN -s 172.16.0.0/12
   -A DOCKER-USER -j RETURN -s 192.168.0.0/16
   
   -A DOCKER-USER -p udp -m udp --sport 53 --dport 1024:65535 -j RETURN
   
   -A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16
   -A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8
   -A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12
   -A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 192.168.0.0/16
   -A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 10.0.0.0/8
   -A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 172.16.0.0/12
   
   -A DOCKER-USER -j RETURN
   
   -A ufw-docker-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW DOCKER BLOCK] "
   -A ufw-docker-logging-deny -j DROP
   
   COMMIT
   # END UFW AND DOCKER
   

2. 重启UFW使规则生效：

   bash
   sudo systemctl restart ufw
   

   注意：若规则未生效，尝试重启服务器。

步骤3：管理容器端口访问权限

通过ufw route命令允许/拒绝外部访问容器端口（适用于支持ufw route的Ubuntu版本）。

允许外部访问容器端口

• 允许所有容器的特定端口（如允许外部访问所有容器内端口为80的服务）：

  bash
  ufw route allow proto tcp from any to any port 80
  

• 允许特定容器的端口（如允许外部访问IP为172.17.0.2的容器的80端口）：

  bash
  ufw route allow proto tcp from any to 172.17.0.2 port 80
  

• 允许UDP端口（如允许外部访问所有容器内UDP端口53的DNS服务）：

  bash
  ufw route allow proto udp from any to any port 53
  

拒绝外部访问容器端口

• 拒绝特定容器访问外部网络（如阻止IP为172.17.0.9的容器访问外部）：

  bash
  ufw route deny from 172.17.0.9 to any
  

步骤4：使用ufw-docker工具（推荐）

ufw-docker是简化容器端口防火墙规则管理的脚本，支持Docker Swarm模式。

安装ufw-docker

bash
sudo wget -O /usr/local/bin/ufw-docker \
  https://github.com/chaifeng/ufw-docker/raw/master/ufw-docker
sudo chmod +x /usr/local/bin/ufw-docker

初始化UFW配置

bash
ufw-docker install

该命令会备份/etc/ufw/after.rules并添加必要规则。

基本使用示例

• 允许容器端口（如允许容器httpd的80端口）：

  bash
  ufw-docker allow httpd 80
  

• 允许容器TCP端口（如允许容器httpd的443/tcp端口）：

  bash
  ufw-docker allow httpd 443/tcp
  

• 删除容器规则（如删除容器httpd的所有规则）：

  bash
  ufw-docker delete allow httpd
  

Docker Swarm模式使用

• 允许Swarm服务端口（如允许服务web的80端口）：

  bash
  ufw-docker service allow web 80
  

• 删除Swarm服务规则：

  bash
  ufw-docker service delete allow web
  

工作原理说明

核心规则解析

1. 允许私有网络通信：规则允许10.0.0.0/8、172.16.0.0/12、192.168.0.0/16等私有网段的内部通信，确保容器间和内部网络正常访问。
2. UFW规则集成：通过-A DOCKER-USER -j ufw-user-forward将Docker流量纳入UFW管理，支持通过ufw route命令统一管控。
3. 阻止公共网络主动连接：对TCP协议，阻止公网发起的SYN连接请求；对UDP协议，阻止公网访问容器内0-32767端口（默认本地端口范围外），仅允许容器主动访问外部的UDP响应。

UFW链选择：ufw-user-forward vs ufw-user-input

• ufw-user-forward：推荐用于新版Ubuntu（支持ufw route），可单独管控容器端口，不影响主机端口。
• ufw-user-input：适用于老版本Ubuntu，但需注意避免同时暴露主机和容器端口。

Docker Swarm模式配置

在Swarm集群中，ufw-docker需在管理节点部署，并在所有节点修改UFW配置：

1. 在所有节点安装ufw-docker并运行ufw-docker install。
2. 在管理节点管理规则（以允许服务web的80端口为例）：

   bash
   # 创建服务
   docker service create --name web --publish 8080:80 httpd:alpine
   # 允许外部访问服务的80端口
   ufw-docker service allow web 80
   

3. 删除服务规则：

   bash
   ufw-docker service delete allow web
   

验证配置

1. 运行测试容器并发布端口：

   bash
   docker run -d --name test-httpd -p 8080:80 httpd:alpine
   

2. 未配置允许规则时，外部无法访问http://<服务器IP>:8080。
3. 执行ufw route allow proto tcp from any to any port 80后，外部可访问该端口。