Usar el reenvío de iptables, mientras se mantiene correctamente la IP de origen

Question

Simplemente deje que Docker se encargue de la redirección, que es dinámica y podría cambiar cuando se agregan, eliminan o reinician contenedores. Pero miraACTUALIZARabajo.

Esta redirección no debe ser a 172.18.0.1, que es el host y no el contenedor. Cuando el host recibe dicha conexión, es manejada pordocker-proxyque lo envía al contenedor, perdiendo la dirección IP de origen en el proceso.

Docker ya DNAT+ enruta este puerto correctamente (excepto desde el propio host, donde docker-proxydesempeña esta función) en la última regla del conjunto de reglas, al contenedor en ejecución con la dirección 172.18.0.2. Excepto que está configurado para usar el puerto 2525 en lugar del puerto 25.

  107  6020 DNAT       tcp  --  !br-b147ffdbc9f3 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:2525 to:172.18.0.2:25

Esto debería solucionarse con la configuración de Docker, no manualmenteiptablesreglas que no pueden cambiar cada vez que cambia el diseño del contenedor. Como el puerto 25 tiene privilegios, si Docker se ejecuta sin raíz, se necesitan configuraciones adicionales, verifique ladocumentación sobre la exposición de puertos privilegiados.

ACTUALIZAR(teniendo en cuenta los comentarios de OP): OP no se puede usar actualmente -p 25:25porque docker-proxychoca con el servidor SMTP del host local y compite por escuchar en el puerto 25 del host. Esa es la razón por la que la inicial (incorrecta)iptablesLa redirección fue realizada por OP.

Uno puede:

deshabilitar globalmente docker-proxyejecutando dockerdcon la propiedad userland-proxyestablecida en falso

ya sea como unparámetro --userland-proxy=falseo como una propiedad "userland-proxy": falseañadida a/etc/docker/daemon.json.

Esto permitirá entonces utilizar docker run ... -p 25:25 ...(comodocumentado) sin conflictos: el host se alcanzará a sí mismo cuando llegue a localhost o $HOSTNAME, los sistemas remotos llegarán al contenedor y ninguna "Dirección ya en uso" hará que el demonio SMTP del host o el contenedor de Docker fallen al inicio.
o agregue una redirección manual (con una configuración extensa a continuación para hacerlo casi automáticamente)

Cada vez que se reinicia el contenedor, existe el riesgo de que su dirección IP (interna) cambie. Entonces esto debe calcularse. Entonces, con un contenedor nombrado mxusando una red nombrada mxy una única dirección IP involucrada, esto se puede hacer como se explica a continuación.

Cree una cadena de enrutamiento previo separada (para que se pueda vaciar sin tener que vaciar nada más) y llámela primero:
```
iptables -t nat -N mynat
iptables -t nat -I PREROUTING -j mynat
```
La dirección IP del contenedor se puede recuperar mediante programación (para el caso simple de un contenedor nombrado mxcon una única dirección):
```
containerip=$(docker container inspect --format '{{.NetworkSettings.IPAddress}}' mx)
```
(o uno podría usarjq: containerip=$(docker container inspect mx | jq '.[].NetworkSettings.IPAddress')

Encontrar el nombre de la interfaz del puente es más complicado, o al menos no pude encontrar una manera de hacerlo usando solo docker ... inspect. Así que busque su dirección IP en el host y consulte el host para ip addressencontrar solo la interfaz del puente donde está configurada esta dirección IP específica (requiere el jqcomando).
```
 bridgeip=$(docker network inspect --format '{{(index .IPAM.Config 0).Gateway}}' mx)
 bridgeinterface=$(ip -json address show to "$bridgeip"/32 | jq -r '.[].ifname')
```
Enjuague y vuelva a llenar mynatcada vez que se (re)inicie el contenedor:
```
iptables -t nat -F mynat
iptables -t nat -A mynat ! -i "$bridgeinterface" -p tcp --dport 25 -j DNAT --to-destination "$containerip":25
```
cual sería para el caso actual:

iptables -t nat -¡Yo mynat! -i br-b147ffdbc9f3 -p tcp --dport 25 -j DNAT --to-destino 172.18.0.2:25

Y para asegurarse de que las propias reglas de firewall de Docker no bloqueen dicho tráfico, haga algo similar comenzando en filter/ FORWARDdesde elDOCKER-USERcadena.

Inicialmente (si es desde el arranque, es posible que también tengas que crear primeroDOCKER-USER):
```
iptables -N myforward
iptables -I DOCKER-USER 1 -j myforward
```
Luego, cada vez que se (re)inicia el contenedor:
```
iptables -F myforward
iptables -A myforward -p tcp ! -i "$bridgeinterface" -d "$containerip" -p tcp --dport 25 -j ACCEPT
```
cual sería para el caso actual:
```
iptables -A myforward -p tcp ! -i br-b147ffdbc9f3 -d 172.18.0.2 -p tcp --dport 25 -j ACCEPT
```

Notas:

Para simplificar las reglas anteriores y evitar algunos de los cálculos, el contenedor y su red puente se pueden iniciar con direcciones IP fijas. Vea, por ejemplo, esta SO Q/A:Asignar IP estática al contenedor Docker.
Aquí también hay una pregunta/respuesta de UL SE con una respuesta mía sobre problemas al interactuar con Docker (está diseñado paranftablespero algunas partes sobre las interacciones DOCKER-USERen cadena o br_netfilterpuente siguen siendo de interés):Ventana acoplable de lista blanca de nftables

Answer 1