kaysond/trafficjam

Docker网络简单防火墙镜像文档

概述

本镜像提供一个轻量级防火墙工具，专为Docker网络环境设计，旨在简化容器间网络流量的管理与控制。通过直观的规则配置，用户无需复杂的网络知识即可实现Docker容器间的访问控制，有效提升Docker网络环境的安全性与可控性。

核心功能与特性

• 轻量级设计：资源占用低，适合各类Docker环境部署
• Docker原生集成：直接对接Docker守护进程，自动识别容器与网络信息
• 基于规则的访问控制：支持自定义入站/出站规则，精确控制容器间通信
• 简化配置：通过环境变量或配置文件即可定义规则，无需复杂网络策略配置
• 实时规则生效：规则更新无需重启容器，即时应用到网络环境

使用场景与适用范围

• 开发/测试环境中实现容器间网络隔离，模拟生产环境网络边界
• 小型生产环境下控制多容器应用间的通信路径，减少不必要的网络暴露
• 多租户Docker环境中隔离不同应用/服务的网络流量
• 对网络安全有基础需求，但无需企业级复杂网络方案的场景

使用方法与配置说明

基本部署（docker run）

bash
docker run -d \
  --name docker-firewall \
  --net=host \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -e RULES="allow:container=webapp to container=db; deny:all to container=redis" \
  -e LOG_LEVEL=info \
  simple-docker-firewall

核心配置参数

环境变量

规则条件语法

规则由[动作]:[源条件] to [目标条件]组成，支持的条件类型：

• container=<容器名/ID>：指定容器
• network=<网络名>：指定网络内所有容器
• label=<标签键=值>：匹配带有指定标签的容器
• all：所有来源/目标

示例规则：

• allow:container=api to container=db：允许api容器访问db容器
• deny:network=external to label=env=prod：阻止external网络访问带有env=prod标签的容器
• allow:label=service=frontend to network=backend：允许frontend服务标签的容器访问backend网络

持久化配置

通过挂载配置文件实现规则持久化：

bash
docker run -d \
  --name docker-firewall \
  --net=host \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /path/to/rules.conf:/etc/firewall/rules.conf \
  simple-docker-firewall

rules.conf文件格式（每行一条规则）：

allow:container=web to container=db
deny:all to container=admin
allow:label=type=monitor to all

注意事项

1. 需挂载Docker守护进程套接字（/var/run/docker.sock）以获取容器与网络信息
2. 推荐使用--net=host模式运行，确保防火墙能监控所有Docker网络流量
3. BLOCK_ALL=true时需谨慎配置allow规则，避免阻断容器必要通信（如DNS、健康检查）
4. 规则更新可通过修改环境变量或配置文件后发送SIGHUP信号（docker kill -s SIGHUP docker-firewall）实现热加载