正在运行的Docker容器增加端口映射

为什么有这个需求

假设有如下情况：

这个服务很重要，很多服务在连，停服不知道会有什么影响。
服务是运行在 docker 里的，但是 docker 启动命令找不到了。
想给 docker 容器临时增加一个端口映射。

方法一、使用工具反向代理

这个方法性能不如上面的 iptables 规则，比如可以用 nginx 的 stream 四层代理，或者用 socat 一条命令搞定。

查看容器的 IP 地址

1	docker inspect postgres

在结果中找到 NetworkSettings -> Networks -> <你的网络名称> -> IPAddress


sudo apt-get install socat  


socat TCP-LISTEN:5432,fork TCP:172.18.0.2:5432

docker 的 -p 命令来进行端口映射，本质上也是维护了一套 iptables 规则来实现的，docker-proxy 会维护 docker 需要的 iptables 规则，执行 iptables-save 可以查看所有的规则 (iptables-save 并不会真的 save，想保存 iptables 规则还需要额外的操作)。

获取容器的 IP 地址

1	docker inspect postgres

在结果中找到 NetworkSettings -> Networks -> <你的网络名称> -> IPAddress

查看 docker 的虚拟网卡

docker 的一个 bridge 网卡就对应了 linux 机器上的一个网卡，要新增端口映射，需要知道你的容器连接的虚拟网卡是什么。

比如我想让 Postgres 的 5432 端口映射到外网，先查看 Postgres 的容器信息。

1	docker inspect postgres

在结果中找到 NetworkSettings -> Networks -> <你的网络名称> -> Gateway ，记录一下网关的 IP

ip addr

image.png|511

可以知道网卡的名称是 br-342eceae259f

配置 iptables 规则

比如我的容器 IP：172.18.0.2
Docker 虚拟网卡：br-342eceae259f
要映射的端口：5432

1
2

iptables -A DOCKER-USER -o br-342eceae259f ! -i br-342eceae259f -d 172.18.0.2/32 -m tcp -p tcp --dport 5432 -j ACCEPT
iptables -t nat -A DOCKER ! -i br-342eceae259f -p tcp -m tcp --dport 5432 -j DNAT --to-destination 172.18.0.2:5432

不需要做 SNAT，因为 Docker 默认已经做了 SNAT 了。
image.png|705

方法三、传统的 iptables 规则

#!/bin/bash

IP=10.0.0.21
PORT=8000
CONTAINER_IP=172.17.0.2
CONTAINER_PORT=80


iptables -t nat -A PREROUTING -4 -p tcp -d ${IP} --dport ${PORT} -j DNAT --to-destination ${CONTAINER_IP}:${CONTAINER_PORT}


iptables -t nat -A OUTPUT -4 -p tcp -d ${IP} --dport ${PORT} -j DNAT --to-destination ${CONTAINER_IP}:${CONTAINER_PORT}


iptables -I FORWARD -p tcp -d ${CONTAINER_IP} --dport ${CONTAINER_PORT} -j ACCEPT
iptables -I FORWARD -p tcp -s ${CONTAINER_IP} --sport ${CONTAINER_PORT} -j ACCEPT


iptables -t nat -A POSTROUTING -4 -p tcp -d ${CONTAINER_IP} --dport ${CONTAINER_PORT} -j SNAT --to-source ${IP}

如果规则不加，或加在了 DOCKER-USER 的下面，会兜兜转转，最后匹配到了 DROP

image.png|534

知道了原理后，那么还有一种方法：删除这个 DROP（不要这么做）

推荐订阅源

杂烩饭