Meneruskan port host ke wadah buruh pelabuhan

Apakah mungkin untuk memiliki port akses wadah Docker dibuka oleh tuan rumah? Secara konkret saya memiliki MongoDB dan RabbitMQ berjalan di host dan saya ingin menjalankan proses dalam wadah Docker untuk mendengarkan antrian dan (opsional) menulis ke database.

Saya tahu saya dapat meneruskan port dari container ke host (melalui opsi -p) dan memiliki koneksi ke dunia luar (yaitu internet) dari dalam container Docker tetapi saya tidak ingin mengekspos port RabbitMQ dan MongoDB dari tuan rumah ke dunia luar.

EDIT: beberapa klarifikasi:

Starting Nmap 5.21 ( http://nmap.org ) at 2013-07-22 22:39 CEST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00027s latency).
PORT     STATE SERVICE
6311/tcp open  unknown

joelkuiper@vps20528 ~ % docker run -i -t base /bin/bash
root@f043b4b235a7:/# apt-get install nmap
root@f043b4b235a7:/# nmap 172.16.42.1 -p 6311 # IP found via docker inspect -> gateway

Starting Nmap 6.00 ( http://nmap.org ) at 2013-07-22 20:43 UTC
Nmap scan report for 172.16.42.1
Host is up (0.000060s latency).
PORT     STATE    SERVICE
6311/tcp filtered unknown
MAC Address: E2:69:9C:11:42:65 (Unknown)

Nmap done: 1 IP address (1 host up) scanned in 13.31 seconds

Saya harus melakukan trik ini untuk mendapatkan koneksi internet dengan wadah: Firewall saya memblokir koneksi jaringan dari wadah buruh pelabuhan ke luar

EDIT : Akhirnya saya pergi dengan membuat jembatan kustom menggunakan pipa dan meminta layanan mendengarkan pada jembatan IP. Saya menggunakan pendekatan ini daripada meminta MongoDB dan RabbitMQ mendengarkan pada docker bridge karena memberikan lebih banyak fleksibilitas.

Host buruh pelabuhan Anda memaparkan adaptor ke semua wadah. Dengan asumsi Anda berada di ubuntu terbaru, Anda dapat menjalankan

ip addr

Ini akan memberi Anda daftar adapter jaringan, salah satunya akan terlihat seperti

3: docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP
link/ether 22:23:6b:28:6b:e0 brd ff:ff:ff:ff:ff:ff
inet 172.17.42.1/16 scope global docker0
inet6 fe80::a402:65ff:fe86:bba6/64 scope link
   valid_lft forever preferred_lft forever

Anda harus memberi tahu kelinci / mongo untuk mengikat IP itu (172.17.42.1). Setelah itu, Anda harus dapat membuka koneksi ke 172.17.42.1 dari dalam wadah Anda.

Cara sederhana namun relatif tidak aman adalah dengan menggunakan --net=hostopsi untuk docker run.

Opsi ini membuatnya agar wadah menggunakan tumpukan jaringan host. Kemudian Anda dapat terhubung ke layanan yang berjalan di host hanya dengan menggunakan "localhost" sebagai nama host.

Ini lebih mudah untuk dikonfigurasikan karena Anda tidak perlu mengonfigurasi layanan untuk menerima koneksi dari alamat IP wadah buruh pelabuhan Anda, dan Anda tidak perlu memberi tahu pekerja pelabuhan tentang alamat IP tertentu atau nama host yang akan disambungkan, cukup sebuah port.

Misalnya, Anda dapat mengujinya dengan menjalankan perintah berikut, yang menganggap gambar Anda dipanggil my_image, gambar Anda menyertakan telnetutilitas, dan layanan yang ingin Anda sambungkan ada di port 25:

docker run --rm -i -t --net=host my_image telnet localhost 25

Jika Anda mempertimbangkan untuk melakukannya dengan cara ini, silakan lihat peringatan tentang keamanan di halaman ini:

https://docs.docker.com/articles/networking/

Ia mengatakan:

--net = host - Memberitahu Docker untuk melewati menempatkan wadah di dalam tumpukan jaringan yang terpisah. Intinya, pilihan ini memberi tahu Docker untuk tidak mengirim kontainer ke jaringan kontainer! Sementara proses penampung masih akan terbatas pada sistem file mereka sendiri dan daftar proses dan batas sumber daya, perintah ip addr cepat akan menunjukkan kepada Anda bahwa, berdasarkan jaringan, mereka hidup "di luar" di host Docker utama dan memiliki akses penuh ke antarmuka jaringannya . Perhatikan bahwa ini tidak membiarkan kontainer mengkonfigurasi ulang tumpukan jaringan host - yang akan membutuhkan --privileged = true - tetapi kontainer memungkinkan proses membuka port bernomor rendah seperti proses root lainnya. Ini juga memungkinkan wadah untuk mengakses layanan jaringan lokal seperti D-bus. Ini dapat menyebabkan proses dalam wadah dapat melakukan hal-hal yang tidak terduga seperti memulai ulang komputer Anda.

Anda juga bisa membuat terowongan ssh.

docker-compose.yml:

---

version: '2'

services:
  kibana:
    image: "kibana:4.5.1"
    links:
      - elasticsearch
    volumes:
      - ./config/kibana:/opt/kibana/config:ro

  elasticsearch:
    build:
      context: .
      dockerfile: ./docker/Dockerfile.tunnel
    entrypoint: ssh
    command: "-N elasticsearch -L 0.0.0.0:9200:localhost:9200"

docker/Dockerfile.tunnel:

FROM buildpack-deps:jessie

RUN apt-get update && \
    DEBIAN_FRONTEND=noninteractive \
    apt-get -y install ssh && \
    apt-get clean && \
    rm -rf /var/lib/apt/lists/*

COPY ./config/ssh/id_rsa /root/.ssh/id_rsa
COPY ./config/ssh/config /root/.ssh/config
COPY ./config/ssh/known_hosts /root/.ssh/known_hosts
RUN chmod 600 /root/.ssh/id_rsa && \
    chmod 600 /root/.ssh/config && \
    chown $USER:$USER -R /root/.ssh

config/ssh/config:

# Elasticsearch Server
Host elasticsearch
    HostName jump.host.czerasz.com
    User czerasz
    ForwardAgent yes
    IdentityFile ~/.ssh/id_rsa

Dengan cara elasticsearchini terowongan ke server dengan layanan yang berjalan (Elasticsearch, MongoDB, PostgreSQL) dan memperlihatkan port 9200 dengan layanan itu.

Saya memiliki masalah yang sama mengakses LDAP-Server dari wadah buruh pelabuhan. Saya menetapkan IP tetap untuk wadah dan menambahkan aturan firewall.

docker-compose.yml:

version: '2'
services:
  containerName:
    image: dockerImageName:latest
    extra_hosts:
      - "dockerhost:192.168.50.1"
    networks:
      my_net:
        ipv4_address: 192.168.50.2
networks:
  my_net:
    ipam:
      config:
      - subnet: 192.168.50.0/24

aturan iptables:

iptables -A INPUT -j ACCEPT -p tcp -s 192.168.50.2 -d $192.168.50.1 --dport portnumberOnHost

Di dalam akses kontainer dockerhost:portnumberOnHost

Jika MongoDB dan RabbitMQ berjalan di Host, maka port seharusnya sudah terbuka karena tidak ada dalam Docker.

Anda tidak perlu -popsi untuk mengekspos port dari wadah ke host. Secara default, semua port terbuka. The -ppilihan memungkinkan Anda untuk mengekspos port dari wadah ke luar dari tuan rumah.

Jadi, tebakan saya adalah bahwa Anda tidak perlu -psama sekali dan itu harus bekerja dengan baik :)