Как защитить сервер от docker

[@rumartru]

Спасибо 👍 Я бы с удовольствием посмотрел видео по настройке сервака (что-то вроде шпоры для быстрой установки и настройки). Например: postgres, iptable, ssh и простенький hello world на гошке и возможно k8s, т.е. какой-нибудь продакш реди на минималках.

[@ПавелМорозов-л8м]

Согласен! Тоже хотелось бы что то такое посмотреть

[@TheArtofDevelopment]

в рамках рубрики production сервис дойдем до деплоя этого сервиса и будем настраивать сервер

[@rumartru]

@@TheArtofDevelopment Спасибо! Будем ждать)

[@the237th]

Спасибо! С удовольствием бы послушал про ip-tables и реализацию tcp/ip в Linux

[@_skeptik]

Сначала подумал, что какое-то скучное видео, но в итоге оказалось всё понятно и очень интересно

[@GlebSemin-i9n]

Спасибо за ролик! Очень интересно посмотреть видео про настройку безопасного сервера

[@vladimirtatarsky9928]

Топовый контент, лайк автоматом) Можешь рассказать что-то подобное, но ещё с базой

[@DoCodeRu]

Спасибо, совет пригодится. А так еще лучше не использовать опцию ports для локальных контейнеров, так как для этого есть expose.

[@TheArtofDevelopment]

expose этого не делает и с целом является просто индикатором что контейнер может выпустить какие-то порты наружу.

[@user-pu5xs1sj8d]

Топ канал. Спасибо!

[@Логовотестировщика]

лучший!

[@ArslanArslan-ph2pz]

Как всегда лайкос

[@deverloperfantom1372]

видосик топчик одно но точное не одно, вы все разрешаете на 8081 а надо конкретику прописывать какое именно содержание должно выходить, но это уже не много глубже подписался и поставил лайк, жду видео по защите linux, как понимаю в какой то момент просто ввели дыру которую выпилить реально .... не понимаю как... интересно послушать т.к. в безопасности я не шарю да и в рандомизации динамической для резолва порта что то посмотрел видосы, вижу вы великий гуру, жду быстрейшего видео, научита в начале делать образы кастомные linux потом уже о безопасности поговорим... с ходу въежать давольно тяжело... просто смотрю что все под телегу пишут ботов а то что она уязвима неее по этому то вы пишите потому тчо думаете что она защищина? видосик зачетный молодец

[@sammygun84]

Спасибо было очень интересно. Хотел спросить есть ли будущие у docker правда что он уже отходит ? Kuber уже вроде не использует docker ? Red hat вообще полностью от него ушли, так ли все плохо у docker ? И что придет ему на замену ?

[@TheArtofDevelopment]

пока что докер, а потом неизвестно

[@NickNaskida]

Раскажи про зашиту, Firewall

[@user-pu5xs1sj8d]

Внукер-докер ) кто заметил тот заметил

[@ilmiriliasov2521]

Мораль сей басни такова - сносите погремушку ufw и привыкайте к iptables/nftables

[@yarbersheer8559]

Докер просит, но делает это без уважения))

[@fedor_ado]

А где защита-то, не понял? Сто раз повторил про строчку прероутинг и дальше что? После перезагрузки эта строчка восстановится. Даже не показал, как этого избежать. Плюс - зачем мне запускать контейнер с проброшенным портом и после закрывать этот порт? Вобщем куку.

[@aaaaoooo4298]

Есть ли решение как избежать восстановления строки прероутинг после перезагрузки?

[@b33slayer]

@@aaaaoooo4298восстанавливать сохранённые правила

[@meemeebeebee]

Не надо ничего удалять. Нужно просто почитать официальную документацию и найти там упоминание цепочки DOCKER-USER, чтобы добавить свои правила.

[@TheArtofDevelopment]

так не интересно =)

[@itsmith32]

И даже в оф. документации правила не помогают

[@osidpgipsoe]

Привет, Ахтур

[@kodaf]

Я хочу развернуть несколько разных приложений на сервере. Есть несколько docker-compose.yml и все(или несколько) приложений пробрасываются на 80 порт. Как можно решить эту проблему? Задача по сути сводится к пробросу запросов с разных поддоменов в разные контейнеры, но как это можно сделать? Я не нашёл каких-то конкретных решений(предполагаю, что плохо искал). Из того что посоветовали - кубер, траефик или ансибл. Что можешь посоветовать на такие случаи?

[@TheArtofDevelopment]

1 варивант docker: 8080 --> 80, 8081 --> 80, 8082 --> 80 ну и так далее локальный или в докере nginx: domain.com --> 8080, a.domain.com --> 8081 2 вариант все в докере без портов наружу, локально торчит только nginx на 80 порту, который оркестрирует весь софт.

[@domainsale3981]

Можно использовать jwilder/nginx-proxy

[@herrmittelfinger4965]

firewalld в centos и redhat, из коробки всё запрещает

[@TheArtofDevelopment]

надо протестить

[@dmitrymiloserdov911]

Было интересно услышать как защитить некоторые сервисы докера от доступа из каких-то сетей, но ваш вариант это не решение. Вы сломали работоспособность докера - у вас сломался сварм у вас сломалось взаимодействие между контейнерами к тому же в докере часть правил динамическая.

[@ARTSKYShow]

да я выше как раз похоже отписал, что внешний порт или локальный можно установить в параметрах докера, и не лезть в систему

[@dmitrymiloserdov911]

@@ARTSKYShow дело не в этом. Часто хочется чтобы порт был внешний но доступен не отовсюду, а с доверенных хостов. К примеру демо-стенд на чужой площадке и публиковать порт монго ты точно не хочешь но все же хочется иметь к нему доступ со своих серверов для бэкапа или оперативного анализа. И тут докер из коробки дает либо все либо ничего. Так что пока из удобных вариантов только поставить перед полуоткрытым сервисом haproxy или traeffic и ограничивать ими

[@ARTSKYShow]

@@dmitrymiloserdov911 ну речь шла как защитить сервер, и все видео рассказывается о том как закрыть порт, про полуоткрытый сервис повествования не шло

[@TheArtofDevelopment]

на текущий момент я не заметил сломанность докера, контейнеры между собой взайимодействуют успешно - за это отвечают другие правила.

[@TheArtofDevelopment]

@@dmitrymiloserdov911 чтобы ограничить доступ к докеру с доверенных хостов, это можно сделать и без nginx/traefik, а просто правилами в iptables.

[@VaeV1ct1s]

После перезапуска, iptable обновился

[@TheArtofDevelopment]

это плохое видео, я планирую его переснять

[@crazybee69]

А разве не проще открывать порты через expose в докер контейнере, если нужно чтобы они не были открыты наружу?

[@r-morozov]

Expose не открывает порт, порт надо указывать в команде запуска каждый раз

[@belerafon9288]

А может лучше сетями докера настраивать что нужно на сервере без доступа из вне? Ну и в идеале иметь сервер в приватной сети

[@TheArtofDevelopment]

Так сервисы требуют порты извне. Почта, Jitsi, ssh.

[@delay_gryaz_chisto]

так вам же по-любому нужно как-то достучаться до своего приложения извне ) ну только если у вас оно не какое-то специфичное типо кронджобы которое раз в час вам что-то отсылает в телеграм)

[@belerafon9288]

@@TheArtofDevelopment я про то что какие порты нужны наружу пробрасывать есть смысл на хост машину, а которые не нужны, лучше внутренними сетями настраивать от контейнера к контейнеру. А в приватной сети так же проброс портов работает.

[@belerafon9288]

@@delay_gryaz_chisto проброс портов настроить не проблема. Те порты которые не нужны не зачем на хост пробрасывать.

[@delay_gryaz_chisto]

@@belerafon9288 об этом это видео )

[@4babushkin]

демон докера перезапусти и правило опять появиться. или рестарт сервера включит его опять

[@TheArtofDevelopment]

Да. И поэтому я создал скрипт который удаляет это правила после ребута сервера.