docker、podman转发端口与ufw防火墙、firewalld、iptables和平共存

并存docker和ufw(或其他基于iptables的防火墙)会出现一些问题。

传统搞法是禁止docker操作iptables，但这样docker的网络基本就废了。

可以用下面的工具解决：

1 安装

wget -O /usr/local/bin/ufw-docker \
https://github.com/chaifeng/ufw-docker/raw/master/ufw-docker

chmod +x /usr/local/bin/ufw-docker

sudo ufw-docker install

systemctl restart ufw

2 启用某个docker得外网访问

上面工具安装完毕后，UFW就生效了，但是所有默认内网得docker容器都无法暴露给外网了

如果想让外网生效，如下操作：

一定注意这个80是nginx容器publish得端口，并不是容器内部端口哦！

3 其他管理

需要注意得是：

• 如果docker得IP发生变化，可能需要重新更新ufw-docer得防火墙规则。
• 如果上面这个让你不爽，可以docker建一个网络，然后使用固定IP
• 如果你得docker容器里自己设定了一些奇怪得iptables，可能需要在ufw中也设置allow一下。

原文 - 让Docker和UFW和平相处

podman的网络使用的是 iptables 的转发。不支持ufw开放/禁用 端口。
开了ufw防火墙后，podman 转发的端口基本上就只能本地访问了。这是个大坑

方法1

ifconfig

执行后，可以找到一些 cni-popdman0 这种的interface。
使用iptables对所有的相关cni都转发一下 例如：

iptables -I FORWARD -p tcp ! -i cni-podman0 -o cni-podman0 -j ACCEPT

这样，即使开启着 ufw。你的podman的端口也能通过外部访问了。
不过不安全。这是全部转发的端口都允许了。所以只是临时方案。否则只能关闭ufw(不能接受)

方法2

• 编辑 /etc/default/ufw 修改 DEFAULT_FORWARD_POLICY 的值为 ACCEPT
• sudo ufw reload