centos docker如何配置防火墙

在centos系统中，安全地配置docker与防火墙(firewalld)的协同工作至关重要，这能确保容器间通信以及容器与外部网络的通信安全。以下步骤详细介绍如何在centos系统上配置firewalld以支持docker：

1. 安装firewalld(如果未安装):

   sudo yum install firewalld firewalld-services

2. 启动并启用firewalld服务:

   sudo systemctl start firewalld sudo systemctl enable firewalld

3. 允许Docker守护进程访问: Docker守护进程通常使用unix套接字通信。 通过firewalld的docker服务允许访问该套接字：

   sudo firewall-cmd --permanent --add-service=docker sudo firewall-cmd --reload

4. 验证Docker服务状态: 确认Docker服务已被firewalld允许：

   sudo firewall-cmd --list-services | grep docker

   若输出包含docker，则表示已成功配置。

5. 配置端口转发(如有需要): 如果你的Docker容器需要外部访问，则需要配置端口转发。例如，将主机的80端口转发到容器的80端口：

   sudo firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:toport=80:toaddr=<container_ip> sudo firewall-cmd --reload

   请将替换为你的容器IP地址。

6. 自定义Docker容器防火墙规则(高级): 针对特定Docker容器，你可以使用更精细的防火墙规则。例如，允许通过Docker网络接口docker0的TCP流量到80端口：

   sudo firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -i docker0 -p tcp --dport 80 -j ACCEPT

   重要提示: 为了在重启后保持这些自定义规则，需要确保它们被保存到firewalld的持久化配置中。 具体方法取决于你的firewalld版本和配置。

请注意，以上步骤可能因CentOS版本和具体需求而略有差异。建议在生产环境应用前，先在测试环境中验证配置。 此外，如果启用SElinux，可能还需要调整SELinux策略以确保Docker与firewalld的正常交互。