Usando o encaminhamento de iptables, mantendo adequadamente o IP de origem

Question

Deixe o Docker cuidar do redirecionamento, que é dinâmico e pode mudar quando os contêineres são adicionados, removidos ou reiniciados. Mas vejaATUALIZARabaixo.

Esse redirecionamento não deve ser para 172.18.0.1, que é o host e não o contêiner. Quando o host recebe tal conexão, ela é tratada pordocker-proxyque faz proxy para o contêiner, perdendo o endereço IP de origem no processo.

O Docker já DNAT+ roteia essa porta corretamente (exceto do próprio host, onde docker-proxydesempenha essa função) na última regra do conjunto de regras, para o contêiner em execução com o endereço 172.18.0.2. Exceto que está configurado para usar a porta 2525 em vez da porta 25.

  107  6020 DNAT       tcp  --  !br-b147ffdbc9f3 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:2525 to:172.18.0.2:25

Isso deve ser corrigido com as configurações do Docker, não manualmentetabelas de ipregras que não podem ser alteradas sempre que o layout do contêiner for alterado. Como a porta 25 é privilegiada, se o Docker estiver rodando sem root, serão necessárias configurações adicionais, verifique odocumentação sobre a exposição de portas privilegiadas.

ATUALIZAR(considerando os comentários do OP): O OP não pode ser usado no momento -p 25:25porque docker-proxyentra em conflito com o servidor SMTP do host local e compete pela escuta na porta 25 do host. Essa é a razão pela qual a inicial (errada)tabelas de ipo redirecionamento foi feito pelo OP.

Pode-se:

desabilitar globalmente docker-proxyexecutando dockerdcom a propriedade userland-proxydefinida como false

seja como umparâmetro --userland-proxy=falseou como uma propriedade "userland-proxy": falseadicionada a/etc/docker/daemon.json.

Isso permitirá então usar docker run ... -p 25:25 ...(comodocumentado) sem conflito: o host alcançará a si mesmo ao alcançar localhost ou $ HOSTNAME, os sistemas remotos alcançarão o contêiner e nenhum "Endereço já em uso" fará com que o daemon SMTP do host ou o contêiner do Docker falhem na inicialização.
ou então adicione um redirecionamento manual (com configuração demorada abaixo para fazer isso quase automaticamente)

Sempre que o contêiner é reiniciado, existe o risco de seu endereço IP (interno) ser alterado. Então isso deve ser computado. Portanto, com um contêiner nomeado mxusando uma rede nomeada mxe um único endereço IP envolvido, isso pode ser feito conforme explicado abaixo.

Crie uma cadeia de pré-roteamento separada (para que possa ser liberada sem a necessidade de liberar mais nada) e chame-a primeiro:
```
iptables -t nat -N mynat
iptables -t nat -I PREROUTING -j mynat
```
O endereço IP do contêiner pode ser recuperado programaticamente (para o caso simples de um contêiner nomeado mxcom um único endereço):
```
containerip=$(docker container inspect --format '{{.NetworkSettings.IPAddress}}' mx)
```
(ou alguém poderia usarjq:)containerip=$(docker container inspect mx | jq '.[].NetworkSettings.IPAddress'

Encontrar o nome da interface da ponte é mais complicado, ou pelo menos não consegui encontrar uma maneira de fazer isso usando apenas docker ... inspect. Portanto, encontre seu endereço IP no host e consulte o host usando ip addresspara encontrar apenas a interface da ponte onde esse endereço IP específico está definido (requer o jqcomando).
```
 bridgeip=$(docker network inspect --format '{{(index .IPAM.Config 0).Gateway}}' mx)
 bridgeinterface=$(ip -json address show to "$bridgeip"/32 | jq -r '.[].ifname')
```
Limpe e preencha novamente mynatcada vez que o contêiner for (re)iniciado:
```
iptables -t nat -F mynat
iptables -t nat -A mynat ! -i "$bridgeinterface" -p tcp --dport 25 -j DNAT --to-destination "$containerip":25
```
o que seria para o caso atual:

iptables -t nat -I mynat! -i br-b147ffdbc9f3 -p tcp --dport 25 -j DNAT --to-destination 172.18.0.2:25

E para ter certeza de que as próprias regras de firewall do Docker não bloqueiam esse tráfego, faça algo semelhante começando em filter/ FORWARDdoDOCKER-USERcorrente.

Inicialmente (se for da inicialização, talvez você precise criar primeiroDOCKER-USER):
```
iptables -N myforward
iptables -I DOCKER-USER 1 -j myforward
```
Mais tarde, cada vez que o contêiner for (re)iniciado:
```
iptables -F myforward
iptables -A myforward -p tcp ! -i "$bridgeinterface" -d "$containerip" -p tcp --dport 25 -j ACCEPT
```
o que seria para o caso atual:
```
iptables -A myforward -p tcp ! -i br-b147ffdbc9f3 -d 172.18.0.2 -p tcp --dport 25 -j ACCEPT
```

Notas:

Para simplificar as regras acima e evitar alguns cálculos, o contêiner e sua rede bridge podem ser iniciados com endereços IP fixos. Veja, por exemplo, este SO Q/A:Atribuir IP estático ao contêiner Docker.
Aqui está também uma pergunta/resposta da UL SE com uma resposta minha sobre problemas ao interagir com o Docker (ele é voltado paranftáveismas algumas partes sobre as interações DOCKER-USERem cadeia ou br_netfilterponte ainda são de interesse):janela de encaixe da lista de permissões do nftables

Answer 1