使用iptables轉發，同時妥善保留來源IP

Question

只需讓 Docker 處理重定向，該重定向是動態的，並且可能會在新增、刪除或重新啟動容器時變更。但看更新以下。

此重定向不應該重定向到 172.18.0.1，它是主機而不是容器。當主機收到這樣的連接時，它由docker-proxy它將其代理到容器，在此過程中丟失來源 IP 位址。

docker-proxyDocker 已經在規則集的最後一條規則中透過DNAT + 正確路由此連接埠（除了主機本身，在主機本身中扮演此角色），將其路由到具有 172.18.0.2 位址的正在運行的容器。只不過它配置為使用連接埠 2525 而不是連接埠 25。

  107  6020 DNAT       tcp  --  !br-b147ffdbc9f3 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:2525 to:172.18.0.2:25

這應該透過 Docker 設定來修復，而不是手動iptables容器佈局改變時不能改變的規則。由於25端口是特權端口，如果Docker無根運行，需要額外設置，檢查有關公開特權連接埠的文檔。

更新（考慮OP的評論）：OP目前無法使用，-p 25:25因為docker-proxy與本機的SMTP伺服器衝突並競爭偵聽主機上的連接埠25。這就是最初（錯誤）的原因iptables重定向是由 OP 進行的。

一個人可以：

透過將屬性設為 falsedocker-proxy運行來全域禁用dockerduserland-proxy

要么作為範圍 --userland-proxy=false或作為屬性"userland-proxy": false添加到/etc/docker/daemon.json。

然後這將允許使用docker run ... -p 25:25 ...（如有記錄的）沒有衝突：當到達 localhost 或 $HOSTNAME 時，主機將到達自身，遠端系統將到達容器，並且沒有「位址已在使用中」將使主機的 SMTP 守護程序或 Docker 的容器在啟動時失敗。
或添加手動重定向（下面有冗長的設定以幾乎自動完成）

每當容器重新啟動時，其（內部）IP 位址都存在更改的風險。所以這個必須要計算一下。因此，對於mx使用命名的網路mx和涉及的單一 IP 位址命名的容器，可以按照下面的說明來完成此操作。

建立一個單獨的預路由鏈（這樣就可以刷新它而無需刷新其他任何內容）並首先調用它：
```
iptables -t nat -N mynat
iptables -t nat -I PREROUTING -j mynat
```
可以透過程式設計方式擷取容器的 IP 位址（對於mx使用單一位址命名的容器的簡單情況）：
```
containerip=$(docker container inspect --format '{{.NetworkSettings.IPAddress}}' mx)
```
（或者可以使用jqcontainerip=$(docker container inspect mx | jq '.[].NetworkSettings.IPAddress':)

尋找橋接介面名稱更加複雜，或至少我找不到僅使用docker ... inspect.因此，在主機上找到其 IP 位址，並使用查詢主機ip address來僅查找設定此特定 IP 位址的橋接介面（需要命令jq。）
```
 bridgeip=$(docker network inspect --format '{{(index .IPAM.Config 0).Gateway}}' mx)
 bridgeinterface=$(ip -json address show to "$bridgeip"/32 | jq -r '.[].ifname')
```
mynat每次（重新）啟動容器時刷新並重新填充：
```
iptables -t nat -F mynat
iptables -t nat -A mynat ! -i "$bridgeinterface" -p tcp --dport 25 -j DNAT --to-destination "$containerip":25
```
對於當前的情況：

iptables -t nat -I mynat ！ -i br-b147ffdbc9f3 -p tcp --dport 25 -j DNAT --到目的地 172.18.0.2:25

為了確保 Docker 自己的防火牆規則不會阻止此類流量，請從 filter/ 開始執行類似的FORWARD操作DOCKER-USER鏈。

最初（如果從啟動，您可能還必須先建立DOCKER-USER）：
```
iptables -N myforward
iptables -I DOCKER-USER 1 -j myforward
```
然後每次容器（重新）啟動時：
```
iptables -F myforward
iptables -A myforward -p tcp ! -i "$bridgeinterface" -d "$containerip" -p tcp --dport 25 -j ACCEPT
```
對於當前的情況：
```
iptables -A myforward -p tcp ! -i br-b147ffdbc9f3 -d 172.18.0.2 -p tcp --dport 25 -j ACCEPT
```

筆記：

為了簡化上述規則並避免一些計算，容器及其橋接網路可以使用固定IP位址啟動。例如，請參閱此 SO Q/A：為 Docker 容器指派靜態 IP。
這裡還有一個 UL SE Q/A，其中包含我關於與 Docker 互動時出現的問題的答案（它適用於nftables但關於鏈條的一些部分DOCKER-USER或br_netfilter仍然令人感興趣）：nftables 白名單 docker

Answer 1