1

Добрый день , есть проблема , надо закрыть доступ ко всем контейнерам из мира кроме локалхоста.

version: '2'

services:
  mongodb:
    image: 'bitnami/mongodb:latest'

    network_mode: "host"

    volumes:
          - /bitnami/mongo:/bitnami

    ports:
      - "127.0.0.1:27017:27017"

    environment:
      - MONGODB_ROOT_PASSWORD=password123

  redis:
    image: 'bitnami/redis:latest'

    network_mode: "host"

    volumes:
          - /bitnami/redis:/bitnami

    ports:
      - '127.0.0.1:6379:6379'

    environment:
      - REDIS_PASSWORD=password123

  main:
    build: .

    network_mode: "host"

    ports:
     - "127.0.0.1:8080:8080"

    volumes:
     - .:/code
     - /settings:/go/settings/

Вот там root@localhost:~# netstat -plnt

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:5000            0.0.0.0:*               LISTEN      2774/nginx: worker 
tcp        0      0 0.0.0.0:27017           0.0.0.0:*               LISTEN      3224/mongod     
tcp        0      0 0.0.0.0:6379            0.0.0.0:*               LISTEN      3097/redis-server 0
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      2774/nginx: worker 
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      29048/sshd      
tcp6       0      0 :::22                   :::*                    LISTEN      29048/sshd      
tcp6       0      0 :::8000                 :::*                    LISTEN      3282/code  

Что говорит о том что контейнеры открыты для доступа из вне. Надо все закрыть и дать доступ только через локалхост.

5
  • 1
    Как вариант - iptables - не? 17 авг 2017 в 13:33
  • @Михаил Алексеевич потому что я не гуру линукса, и если я не ошибаюсь то после перезапуска всего стека докер опять откроет это дело. Для этого есть явно адекватное решение придуманное для этой цели.
    – Zaazik
    17 авг 2017 в 13:40
  • Откроет, если не прописать в rc.init например :) Но у Вас в конфиге написана одна подсеть, а открывается другая. Это скорее баг, с этим лучше всего бороться iptables. 17 авг 2017 в 13:42
  • @МихаилАлексеевич это случаем не network_mode: "host" ? Если есть вариант поправить докер компос файл так чтоб доступ был только по локал хосу пример "localhost:8000" или "127.0.0.1:8000" То буду рад вам поставить РЕПУ в верх , а через иптаблици ну уж муторно и долго для меня , для этого есть быстро и боле безболезненное решение.
    – Zaazik
    17 авг 2017 в 13:46
  • В docker >= 17.06 это исправили и добавили новую цепочку которую docker не перезатирает при перезапуске. Пруф: github.com/moby/moby/issues/29184
    – nobody
    17 авг 2017 в 13:49

1 ответ 1

1

Все решилось тем что убрал

    network_mode: "host"

В всех сервисах , и в замен просто добавил линки на редис и монго.

version: '2'

services:
  mongodb:
    image: 'bitnami/mongodb:latest'

    volumes:
          - /bitnami/mongo:/bitnami

    ports:
      - "127.0.0.1:27017:27017"

    environment:
      - MONGODB_ROOT_PASSWORD=password123

  redis:
    image: 'bitnami/redis:latest'

    volumes:
          - /bitnami/redis:/bitnami

    ports:
      - '127.0.0.1:6379:6379'

    environment:
      - REDIS_PASSWORD=password123

  main:
    build: .

    links:
       - mongodb
       - redis

    ports:
     - "127.0.0.1:8080:8080"

    volumes:
     - .:/code
     - /settings:/go/settings/

  dev:
    build: .

    links:
     - mongodb
     - redis

    ports:
     - "127.0.0.1:8000:8000"

    volumes:
     - .:/code
     - /settings:/go/settings/
#
#volumes :
#  redis:
#    - /bitnami/redis
#  mongodb:
#    - /bitnami/mongo


root@localhost:/home/InterExchangeHustla# netstat -plnt
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:5000            0.0.0.0:*               LISTEN      2774/nginx: worker 
tcp        0      0 127.0.0.1:27017         0.0.0.0:*               LISTEN      8728/docker-proxy
tcp        0      0 127.0.0.1:6379          0.0.0.0:*               LISTEN      8697/docker-proxy
tcp        0      0 127.0.0.1:8080          0.0.0.0:*               LISTEN      12138/docker-proxy
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      2774/nginx: worker 
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      29048/sshd      
tcp        0      0 127.0.0.1:8000          0.0.0.0:*               LISTEN      10258/docker-proxy
tcp6       0      0 :::22                   :::*                    LISTEN      29048/sshd    

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.