В одной из статей читал, что раньше нужно было линковать, я теперь достаточно создать новую сеть и использовать ее в обоих контейнерах

Прочитай просто доку докера, а не отрывки из разных мануалов по настройке

Тебе уже выше кинули как общаются между собой сервисы и там мохер вообще хоть оно на го, хоть на пхп написано, все общаются между собой по имени сеовиса

Fqdn тут вообще не нужон

Если нет времени читать офф доку докера где все это расписано с примерами даже, то зачем кому то тратить на это время тут?)

Привет. А можно настроить сеть между контейнерами, чтобы например, 3 контейнера (db, app, nginx), и доступ к db был только у application'а, nginx о базе не вкурсе был) про линк вкурсе, а в swarm возможно?

Привет. А можно настроить сеть между контейнерами, чтобы например, 3 контейнера (db, app, nginx), и доступ к db был только у application'а, nginx о базе не вкурсе был) про линк вкурсе, а в swarm возможно?

Можно, с помощью разных сетей. Одному сервису можно дать доступ к нескольким сетям

docker network create —driver=overlay имя

Как-то так, кажется

Ещё - - attachable нужно добавить

Ещё - - attachable нужно добавить

А что это за флаг?

Можно, с помощью разных сетей. Одному сервису можно дать доступ к нескольким сетям

Спасибо, как, я в доке прочитаю)

А что это за флаг?

--attachable Enable manual container attachment

Спасибо

камрады. давно бодаюсь с одной бедой в докере, хотя может туплю гдето чисто концептуально. centos 7 + firewalld + docker на сервере с белым IP. если контейнер експозит порт сервиса своего, то этот порт доступен снаружи НЕСМОТРЯ на то, что нет никаких рулов для этого в firewalld. это вроде как даже не баг а фича - мол iptables сам автоматически добавляет DNAT для этого.

но как былин зарулить так, чтобы этот порт был доступен только для whitelist сетей, а не для public?

камрады. давно бодаюсь с одной бедой в докере, хотя может туплю гдето чисто концептуально. centos 7 + firewalld + docker на сервере с белым IP. если контейнер експозит порт сервиса своего, то этот порт доступен снаружи НЕСМОТРЯ на то, что нет никаких рулов для этого в firewalld. это вроде как даже не баг а фича - мол iptables сам автоматически добавляет DNAT для этого.

iptables глянь

А я хотел задать свой тупой вопрос с конфигами. Но собственно и задам

mysql конфиги, они не применяются

iptables глянь

ну всмысле - глянь? я то вижу что этот порт есть в цепочке DOCKER/

или на эту цепочку создавать свой рул? какой бест практикс для этого? не один же я таким страдаю

input закрой и открывай только нужным портам

так а чем занимается firewalld тогда? в нем я открываю только то что надо и этого порта там ессно нет

разве он не закрывает все по дефолту и открывает только что, что добавлено?

оно ж поверх iptables по идее работает

да, эт прост фронт для iptables

iptables -L -n

покажи

там дофига портянка. я точно говорю -что моего порта из докера там нету в chain Chain IN_public_allow он есть только в DOCKER chain # iptables -t nat -nL | grep 9090 MASQUERADE tcp — 172.18.0.4 172.18.0.4 tcp dpt:9090 DNAT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:9090 to:172.18.0.4:9090 # iptables -nL | grep 9090 ACCEPT tcp — 0.0.0.0/0 172.18.0.4 tcp dpt:9090 ACCEPT tcp — 0.0.0.0/0 0.0.0.0/0 tcp dpt:9090 ctstate NEW

нe и туда его не я добавлял, а именно iptables

и вот этот 9090 доступен на весь мир хотя я этого не хотел

его туда докер добавил скорее всего

точно так и есть)

—iptables=false

для dockerd добавь и наслаждайся

это корректное поведение его но я не пойму как с этим правильно бороться. не один же я таким страдаю. шptables false не рабтает как надо - если эту опцию включать то перестает работать експощинг портов) ну собсно потому что при этом шptables как раз НЕ добавляет свои рулы

не понятно почему он добавляет их на 0.0.0.0/0 то есть на весь мир и это НИКАК не конфигурится через firewalld

неужели только руками REJECT делать на этот порт и потом ACCEPT длz нужных сорсов

https://docs.docker.com/engine/userguide/networking/default_network/container-communication/#communicating-to-the-outside-world

спасибо конечно.. хотелось практического совета от уже бодавшегося с такой бедой) а эту доку я изучал конечно..

если ты ее изучал то видел $ iptables -I DOCKER -i ext_if ! -s 8.8.8.8 -j DROP

лучше всего сделать дроп на все и делать потом ваитлист на нужное

бля ты прав.

этого я как раз и не заметил я только додумался сам до этого а оно оказывается даже рекомендуется ими

вот спасибо

тольк блин вот жеш: Docker will flush any pre-existing rules from the DOCKER and DOCKER-ISOLATION filter chains, if they exist. For this reason, any rules needed to further restrict access to containers need to be added after Docker has started.

это что - какждый раз при рестарте докера рул обновлять свой?

почему ж, можно добавить в ExecStartPost

блин даж не знаю что это.. и пока гугл не помогает особо

это какаято опция для сервисов чтоли

https://www.freedesktop.org/software/systemd/man/systemd.service.html

less /lib/systemd/system/docker.service нашел спасибо!

камрады. давно бодаюсь с одной бедой в докере, хотя может туплю гдето чисто концептуально. centos 7 + firewalld + docker на сервере с белым IP. если контейнер експозит порт сервиса своего, то этот порт доступен снаружи НЕСМОТРЯ на то, что нет никаких рулов для этого в firewalld. это вроде как даже не баг а фича - мол iptables сам автоматически добавляет DNAT для этого.

Есть возможность поставить ufw вместо firewalld? Я эту проблему там решил

хз если честно.. а решается в итоге как?

камрады. давно бодаюсь с одной бедой в докере, хотя может туплю гдето чисто концептуально. centos 7 + firewalld + docker на сервере с белым IP. если контейнер експозит порт сервиса своего, то этот порт доступен снаружи НЕСМОТРЯ на то, что нет никаких рулов для этого в firewalld. это вроде как даже не баг а фича - мол iptables сам автоматически добавляет DNAT для этого.

Удалить к чертям firewalld, настраивать iptables вручную

хз если честно.. а решается в итоге как?

У ufw ставиться drop на все неразрешенные вхождения, потом, allow на все переадресации. К переменной DOCKER_OPTS добавить --iptables=false и все на ура работает)

у меня когда ставишь —iptables=false перестает работать проброс портов полностью

у меня когда ставишь —iptables=false перестает работать проброс портов полностью

FORWARD разреши

ну и default DROP policy наверное можно и в frewallв включить по идее. спасибо за хинт

FORWARD разреши

отдельно руками? он же там свой chain создает для этого

отдельно руками? он же там свой chain создает для этого

та черт его знает) я firewalld вообще не знаю, но по логике все тот же ufw :)

@Zlokot по офф инструкции не вышло чтоль?

ну там надо пилить скрипт для рулов фаера - вчера не дошел ход.. сегодня планируюэтим занятся как раз

ну там надо пилить скрипт для рулов фаера - вчера не дошел ход.. сегодня планируюэтим занятся как раз

да ну, херня должно быть автоматом там пара настроек постоянных для iptables - зачем какие то хитрые скрипты

Если кто то скажет как выдернуть настройки iptables - я скину сюда

Там нет никаких хитрых скриптов

@bednij_bohdan iptables -L > rules.txt

нет?

пурга какая то

там что то вроде iptables-restore или iptables-save

но все не то

как результат должно выйти bash скрипт для применения настроек к iptables

У меня только один вопрос: а зачем экспозить порты всех контейнеров? Пусть один наружу смотрит и всё через него идёт.

а к кому вопрос то? в моем случае речь идет про один порт. но ситуаций когда надо много портов - тоже представить могу.

а к кому вопрос то? в моем случае речь идет про один порт. но ситуаций когда надо много портов - тоже представить могу.

Нет, я просто к тому что докер, на граничном сервере должен содержать только граничные сервисы, а остальное надо внутри держать. Ну или хотя бы какой-то роутер поставить перед сервером

У гитлаба ещё есть режыстри

Спасибо, попробую.

Nexus

Спасибо. Интересно звучит. Попробую.

Продвигал среди коллег докер. Возможно будет полезно https://youtu.be/siefy5E3gFw

Спасибо большое.

Нет, я просто к тому что докер, на граничном сервере должен содержать только граничные сервисы, а остальное надо внутри держать. Ну или хотя бы какой-то роутер поставить перед сервером

ну так получилось что вся серверная кухня у хостера имеет белые IP хотели сделать локалку но не вышло

Добрый вечер. Организовываю у себя процесс разработки. Подняты сервер, база. Папка с исходными кодами монтируется.

Добрый вечер. Организовываю у себя процесс разработки. Подняты сервер, база. Папка с исходными кодами монтируется.

🤘