colinmollenhour/confd-firewall

镜像概述

该"firewall"容器可根据etcd主机中的内容，在运行主机上开放端口，发现应被白名单的IP地址，并通过confd支持规则的自动更新。

核心功能与特性

• 基于etcd动态发现需白名单的IP地址，支持自动更新防火墙规则
• 支持多种模式：Docker发布端口、Kontena服务、其他主机端口
• 可配置协议、端口范围、静态IP/CIDR白名单及拒绝行为
• 支持nftables或iptables-legacy

使用场景

适用于需要动态管理防火墙规则的场景，如：

• Docker服务发布端口的访问控制
• 需要根据etcd中IP列表动态更新白名单的主机端口保护
• 多网格环境下的端口访问权限管理

使用方法与配置说明

环境变量

Etcd数据结构

数据应按以下结构组织：

/mirror/v1/{grid}/{node} = {ip}

也可尝试使用环境变量（未测试）：

FW_GRIDS=FOO
MIRROR_V1_FOO_BAR={ip}
MIRROR_V1_FOO_BAZ={ip}

Docker部署示例

Docker Compose配置

yml
version: '2'
services:
  redis:
    image: redis:latest
    ports:
      - "6379:6379"
  firewall:
    image: colinmollenhour/confd-firewall
    environment:
      - FW_MODE=docker  # 使用Docker发布端口模式
      - FW_SERVICE=redis  # 防火墙规则前缀
      - FW_PROTO=tcp  # 开放TCP协议
      - FW_PORTS=6379  # 开放6379端口
      - FW_STATIC=8.9.10.11/30,18.19.20.21/30  # 静态白名单IP段
      - IPTABLES_NFT=1  # 使用nftables
    cap_add:
      - NET_ADMIN  # 需添加网络管理权限
    network_mode: host  # 使用主机网络模式