Caso de uso
Los puertos de Docker también quedan protegidos.
Docker reenvía los puertos publicados por la cadena FORWARD. Una herramienta que solo mira INPUT deja esos puertos fuera. atalince cubre las dos.
01El problema
El tráfico de los contenedores no pasa por INPUT.
Cuando un contenedor publica un puerto, como en -p 8080:80, Docker traduce el destino y reenvía el paquete por FORWARD. Las reglas en INPUT nunca lo ven.
Lo mismo vale para Compose y Coolify, que publican puertos de la misma forma.
02Cómo lo resuelve atalince
Saltos en el lugar correcto, sin configuración.
- 01 · DOCKER-USER
Backend iptables, el predeterminado
Desde el agente 1.0.4, dos saltos al inicio de DOCKER-USER, solo para conexiones que Docker tradujo en la entrada.
- 02 · FORWARD
Backend nftables de Docker
Desde el agente 1.0.7, los mismos saltos quedan al inicio de FORWARD en iptables.
- 03 · Reglas
Bloqueos, reglas y geobloqueo
También valen para los puertos publicados. En las reglas, el puerto es el publicado en el servidor: 8080 en el ejemplo. El geobloqueo es de Pro.
- 04 · Alcance
Solo el tráfico de entrada
La salida de los contenedores y el tráfico entre contenedores no pasan por estas cadenas.
03En el firewall
Dónde van los saltos.
04Límites
Lo que todavía no existe.
- El agente corre en el host, como servicio systemd. Instalar el propio agente dentro de un contenedor (Docker, Swarm o Helm) todavía no está soportado.
Programa Founders
Usa atalince desde el comienzo.
Recursos de Pro para hasta 3 servidores, sin costo, durante 12 meses. El equipo aprueba cada solicitud.