Mengapa wadah Docker menjalankan server mengekspos port ke dunia luar meskipun port tersebut diblokir oleh iptables?

Saya mengalami masalah dengan MySQL yang berjalan di dalam wadah Docker. Gambar pengujian saya dibuat dari Dockerfile berikut:

# See: https://index.docker.io/u/brice/mysql/

FROM ubuntu:12.10
MAINTAINER Joni Kahara <joni.kahara@async.fi> 

# Because docker replaces /sbin/init: https://github.com/dotcloud/docker/issues/1024
RUN dpkg-divert --local --rename --add /sbin/initctl
RUN ln -s /bin/true /sbin/initctl

RUN apt-get update
RUN apt-get upgrade -y

RUN apt-get -y install mysql-server

RUN sed -i -e"s/^bind-address\s*=\s*127.0.0.1/bind-address = 0.0.0.0/" /etc/mysql/my.cnf

RUN /usr/bin/mysqld_safe & \
    sleep 10s && \
    mysql -e "GRANT ALL ON *.* to 'root'@'%'; FLUSH PRIVILEGES;"

EXPOSE 3306

VOLUME ["/var/lib/mysql", "/var/log/mysql"]

CMD ["mysqld_safe"]

Setelah membuat gambar dari file di atas, saya menjalankannya dengan:

docker run -p 3306:3306 asyncfi/magento-mysql

Setelah semuanya membengkak dan saya bisa masuk ke instance MySQL ini dari mesin lokal. Namun, saya juga bisa masuk dari mesin lain.

Saya telah mengatur firewall saya untuk memfilter segalanya kecuali lalu lintas yang masuk ke port tertentu ("tersembunyi" SSH, HTTP, HTTPS), dan pemfilteran ini tampaknya berfungsi; jika saya misalnya menjalankan server pengembangan Django pada port 1234 maka saya dapat terhubung dari mesin lokal, tetapi tidak dari luar. Jadi firewall tampaknya menyaring paket ketika mereka ditakdirkan untuk server yang berjalan sebagai proses "biasa", tetapi tidak ketika server berjalan di dalam wadah.

iptables -L -v --line-numbers mengatakan yang berikut:

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1     2265  107K ACCEPT     all  --  lo     any     anywhere             anywhere
2     240K  319M ACCEPT     all  --  any    any     anywhere             anywhere             ctstate RELATED,ESTABLISHED
3       14  1040 ACCEPT     tcp  --  any    any     anywhere             anywhere             tcp dpt:<REDACTED>
4       21  1092 ACCEPT     tcp  --  any    any     anywhere             anywhere             tcp dpt:http
5        6   360 ACCEPT     tcp  --  any    any     anywhere             anywhere             tcp dpt:https
6      538 34656 LOG        all  --  any    any     anywhere             anywhere             limit: avg 5/min burst 5 LOG level debug prefix "iptables DROP: "
7      551 35424 DROP       all  --  any    any     anywhere             anywhere

Chain FORWARD (policy ACCEPT 5 packets, 296 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1        0     0 ACCEPT     all  --  docker0 docker0  anywhere             anywhere
2     6752  396K ACCEPT     all  --  docker0 !docker0  anywhere             anywhere
3     125K  188M ACCEPT     all  --  any    docker0  anywhere             anywhere             ctstate RELATED,ESTABLISHED

Chain OUTPUT (policy ACCEPT 51148 packets, 14M bytes)
num   pkts bytes target     prot opt in     out     source               destination

Versi Docker adalah:

Client version: 0.7.3
Go version (client): go1.2
Git commit (client): 8502ad4
Server version: 0.7.3
Git commit (server): 8502ad4
Go version (server): go1.2
Last stable version: 0.7.3

Mengapa port MySQL terkena dunia luar?

iptables docker

— Kahara
sumber

Berkat pengguna saluran IRC #docker Michael Crosby dan Paul Czar, saya sekarang dapat menjawab pertanyaan saya sendiri. Masalahnya terletak pada kenyataan bahwa saya menjalankan wadah seperti ini:

docker run -p 3306:3306 asyncfi/magento-mysql

Ini menerbitkan port penampung ke semua antarmuka mesin host, yang jelas bukan yang saya cari saat ini. Untuk mengikat hanya ke localhost, perlu menjalankan wadah sebagai berikut:

docker run -p 127.0.0.1:3306:3306 asyncfi/magento-mysql

Juga EXPOSEgaris di Dockerfile tidak diperlukan karena mekanisme "mengekspos" digunakan untuk menghubungkan kontainer .

— Kahara
sumber