Docker pe VPS: de ce un port publicat poate rămâne accesibil din internet

Ai configurat firewall-ul VPS-ului, dar un serviciu Docker este încă accesibil din exterior? Investigația trebuie să includă și regulile create de Docker. Pentru rețelele bridge de pe Linux, platforma configurează mecanisme de publicare și filtrare; verificarea exclusivă a regulilor obișnuite pentru traficul gazdei poate fi insuficientă.

Înțelege ce publică opțiunea ports

O mapare precum 8080:80 publică portul containerului prin portul 8080 al gazdei. Fără o adresă de legare explicită, publicarea poate expune serviciul pe adresele gazdei. Nu confunda instrucțiunea EXPOSE din imagine cu publicarea efectivă a unui port.

Începe cu un inventar al containerelor și al configurației folosite la pornire:

docker ps --format 'table {{.Names}}	{{.Ports}}'
docker port NUME_CONTAINER

Înlocuiește numele demonstrativ. Pentru Docker Compose, examinează și configurația rezolvată, având grijă să nu copiezi în sesizări valorile secrete pe care aceasta le poate include.

Publică local un serviciu folosit doar de proxy-ul gazdei

Dacă un proxy invers rulează direct pe VPS și transmite către aplicație, o mapare locală poate fi potrivită:

services:
  aplicatie:
    image: imaginea-aplicatiei:versiune-testata
    ports:
      - "127.0.0.1:3000:3000"

Exemplul ilustrează maparea, nu este o configurație completă de instalat. Aplicația trebuie să asculte corespunzător în container. Dacă proxy-ul rulează în alt container, localhost-ul lui este un alt spațiu de rețea; folosește o rețea comună și numele serviciului, după arhitectura proiectului.

Verifică versiunea Docker: documentația descrie o limitare a publicării pe localhost în versiuni mai vechi de 28.0.0, pentru sisteme din același segment de rețea. Nu presupune că exemplul compensează un motor neactualizat.

Controlează și filtrarea creată de platformă

Documentația Docker explică faptul că traficul containerelor publicate poate ocoli traseul pe care îl presupun regulile UFW. Identifică mecanismul de firewall folosit de instalarea ta și aplică metoda documentată pentru acel mecanism.

Nu șterge la întâmplare regulile create de Docker și nu dezactiva gestionarea lor pentru a „simplifica” configurația. Poți întrerupe izolarea sau conectivitatea. Dacă modifici rețeaua, păstrează accesul administrativ și o copie a configurației.

Testează ceea ce vede un client extern

Verifică accesul dintr-o rețea autorizată, diferită de VPS, pentru adresele IPv4 și IPv6 relevante. Compară rezultatul cu serviciile care trebuie să fie publice. Include și repornirea sau recrearea containerelor în verificare: politica trebuie să rămână valabilă după o nouă publicare.

Pentru bazele de date folosite numai între containere, evaluează dacă ai nevoie de publicarea unui port pe gazdă. Conectivitatea internă și accesul din internet sunt cerințe separate. Documentează excepțiile împreună cu motivul lor.

Include verificarea în administrarea VPS-ului

La fiecare serviciu nou, notează portul, adresa de legare și publicul autorizat. Dacă folosești infrastructură XSERVERE, clarifică și existența filtrelor din rețea; acestea completează configurația containerelor, fără să înlocuiască verificarea ei.

Surse

• Docker — Port publishing and mapping — https://docs.docker.com/engine/network/port-publishing/
• Docker — Packet filtering and firewalls — https://docs.docker.com/engine/network/packet-filtering-firewalls/