Dockerでマストドンやってたら、遮断したはずのポートが丸見えだった件 | Divide et impera

みんなマストドンをやっているだろうか？ 僕はやっている。 インスタンス管理をやっている。 こんなふうに運用していた conoHaのVPS CentOS7.3 Dockerで運用している ちなみにDockerは今回が初めて本格的に触った。 マストドンは裏側では3000ポートと4000ポートで待ち受けている。 3000の方は普通のWEB 4000の方はAPIを担当している。 HTTPサーバーであるnginxが、httpの80とhttpsの443で受け取ったら、 それぞれ3000と4000に送りつけている リバースプロキシという技だ。 通常、公開用のhttpとhttpsのポートだけ開けておく。 もちろん僕もそのようにしていた。 CentOS7以降はiptablesではなくfirewalldというファイアウォールのソフトウェアでポートの開け閉めを管理している。 firewalldで、許可するポート

[ngyuki]

firewalld でポートをブロックしても docker で ports すると突き抜けてしまう件

[nasust]

メモ

[rinsuki]

dockerあるある。鯖にもよるけど、自分は他の鯖からnmapして確認してるなー

[knjname]

普通にDocker network内でリバースプロキシすればいい。つまりportsに外に開けるもの以外書くなということ。そもそもホストの外にFWがいて欲しい気持ちはあるけど。

[bootJP]

net=host / http://docs.docker.jp/engine/reference/run.html#network-settings / docker-composeにもあるかなどうだろう

[bottomzlife]

そういえばあんまり聞かない失敗談だけど、きっとこれから増えるミスだね。いい知見

[mini_big_foo]

Dockerのこと、ルーティングのこと、お勉強になった