pitkley/dfw

DFW - Rust编写的Docker防火墙框架

v0.x到v1.x的重大变更

从1.0版本开始，DFW引入了nftables后端并将其设为默认防火墙后端。如果升级时不想切换到nftables，可通过--firewall-backend iptables参数指定（需DFW v1.2及以上版本）。
注意：无论是否切换到nftables，v1.0版本对配置进行了不兼容变更，请参考https://github.com/pitkley/dfw/blob/master/docs/migration/v0.x-to-v1.2.md更新配置。

1. 概述
   1. 示例
2. 快速开始
3. 配置
4. IPv6支持
   1. 示例：IPv6可访问的Web服务器
5. 支持的Docker版本
6. 许可协议
   1. 贡献

概述

DFW概念基于https://github.com/irsl/dfwfw，目标是简化Docker防火墙管理，同时通过替代Docker内置防火墙处理能力扩展功能。
通过灵活的配置定义防火墙规则，DFW运行时会监控Docker容器事件，必要时重建规则。
DFW的核心特性之一是无需容器将端口发布到主机（如docker run --publish 80:8080），而是利用主机防火墙的网络地址转换（NAT）直接转发数据包到容器端口¹。

DFW支持以下防火墙后端：

• iptables
• nftables

可选择最适合自己的后端²。

示例

假设你在Docker中运行反向代理，需代理到同样在Docker中的Web应用。使用Docker默认工具时，只需绑定主机端口、将容器放入同一网络即可工作，但存在以下缺点：

1. 主机绑定端口的流量默认无限制，可能意外暴露测试服务。
2. 同一网络内的容器间通信无限制，无法实现反向代理到Web应用的单向访问。

DFW通过显式配置解决这些问题：需明确指定容器的可达范围，以及容器间的通信规则。

快速开始

• 升级用户：参考对应迁移文档（如https://github.com/pitkley/dfw/blob/master/docs/migration/v1.x-to-v1.2.md、https://github.com/pitkley/dfw/blob/master/docs/migration/v0.x-to-v1.2.md）。
• 新用户：选择防火墙后端：
  • nftables：新一代防火墙工具，建议新用户使用（如Debian 10默认）。
  • iptables：传统工具，适合已有配置的用户。

选择后参考后端文档：https://github.com/pitkley/dfw/blob/master/docs/GETTING-STARTED-nftables.md、https://github.com/pitkley/dfw/blob/master/docs/GETTING-STARTED-iptables.md。

配置

配置分为七个类别：

1. global_defaults：全局默认值。
2. backend_defaults：防火墙后端特定配置。
3. container_to_container：容器间及跨Docker网络的通信控制。
4. container_to_wider_world：容器访问外部世界的控制。
5. container_to_host：容器访问主机的控制。
6. wider_world_to_container：外部世界访问容器的控制。
7. container_dnat：容器间的目标网络地址转换规则。

详见https://github.com/pitkley/dfw/tree/master/examples和配置类型。

IPv6支持

DFW的NAT不支持IPv6转IPv4，若需容器通过IPv6访问，需：

1. 使用--publish发布容器端口到主机。
2. 规则中的主机端口需与发布的端口匹配。

示例：IPv6可访问的Web服务器

假设容器内部使用8080（HTTP）和8443（HTTPS），需通过主机80和443端口访问：
容器运行命令：

bash
docker run \
  --name your_container \
  --network your_network \
  --publish 80:8080 \
  --publish 443:8443 \
  ...

DFW配置（TOML）：

toml
[[wider_world_to_container.rules]]
network = "your_network"
dst_container = "your_container"
expose_port = [
  "80:8080",
  "443:8443",
]

支持的Docker版本

至少需要Docker 1.13.0，持续测试的稳定版本包括：19.03、18.09、18.06、18.03、17.12、17.09、17.07、17.06、1.13。

许可协议

DFW采用双许可：

• Apache License 2.0（LICENSE-APACHE或[***]
• MIT License（LICENSE-MIT或[***]

贡献

任何提交的贡献将默认采用上述双许可，无额外条款。

Docker部署示例

运行DFW容器（以nftables后端为例）：

bash
docker run -d \
  --name dfw \
  --privileged \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /etc/dfw:/etc/dfw \
  pitkley/dfw \
  --firewall-backend nftables

说明：

• --privileged：需防火墙操作权限。
• /var/run/docker.sock：挂载Docker socket以监控容器事件。
• /etc/dfw：挂载配置目录。
• --firewall-backend：指定使用的防火墙后端。