iptables Linux или нужно писать скрипты?

Пока что решил проблему следующим образом:

• Сделал файл скрипта, в котором очищаю правила INPUT и OUTPUT. FORWARD не трогаю (так как docker должен будет положить свои правила):

  #!/bin/bash
  iptables -P INPUT ACCEPT
  iptables -P OUTPUT ACCEPT
  
  # FLUSH OUTPUT and INPUT
  iptables -F INPUT
  iptables -F OUTPUT
  
  # INPUT
  iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
  iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
  iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
  iptables -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
  iptables -A INPUT -s 10.17.0.0/18 -j ACCEPT
  
  # FORWARD
  iptables -I FORWARD 1 -s 172.0.0.0/8 -j ACCEPT
  iptables -I FORWARD 2 -s 172.0.0.0/8 -d 172.0.0.0/8 -j ACCEPT
  iptables -I FORWARD 3 ! -s 10.17.0.0/18 -j DROP
  
  iptables -P INPUT DROP
  

• Далее добавил файл сервиса, который будет запускать этот скрипт после docker.service (WantedBy для активации скрипта)

  [Install]
  WantedBy=multi-user.target
  
  [Unit]
  Description=Settings Iptables Rules
  After=docker.service
  
  [Service]
  Type=oneshot
  ExecStart={{ iptables_script_file }}
  

• Закинул это в ENV для скрипта и Ansible-плейбуком раскатываю:

  ---
  - name: Setting Firewall
    hosts: dmz
    become: true
    gather_facts: false
  
    pre_tasks:
      - name: Include Settings
        include_vars: "{{ playbook_dir }}/secrets/dmz-firewall.yml"
        tags:
          - always
  
    tasks:
      - name: Create directory for script
        file:
          path: "{{ iptables_script_dir }}"
          state: directory
  
      - name: Save Script From Variable
        shell: "echo '{{ iptables_script }}' > {{ iptables_script_file }}"
  
      - name: Set script as Executable
        file:
          path: "{{ iptables_script_file }}"
          mode: 0550
  
      - name: Create directory for service
        file:
          path: "{{ iptables_service_dir }}"
          state: directory
  
      - name: Save Service From Variable
        shell: "echo '{{ iptables_service }}' > {{ iptables_service_file }}"
  
      - name: Systemd Daemon Reload
        systemd_service:
          daemon_reload: true
  
      - name: Enable and Restart Service
        systemd_service:
          name: "{{ iptables_service_filename }}"
          enabled: true
          state: restarted
  

P.S. Добавляю это сюда, чтобы может быть помочь кому-то.

P.P.S. Не уверяю в 100%-ой правильности, у меня сделано так, и это работает.

Если у кого-то есть решение лучше, прошу, дайте другой ответ.

-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A FORWARD -o br-9373f0a8d417 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o br-9373f0a8d417 -j DOCKER
-A FORWARD -i br-9373f0a8d417 ! -o br-9373f0a8d417 -j ACCEPT
-A FORWARD -i br-9373f0a8d417 -o br-9373f0a8d417 -j ACCEPT
-A DOCKER-USER -j RETURN

Выша проблема надуманна. Вот стандартные правили докера. В них разрешается выход наружу, общение внутри бриджа между сервисами. Добавить ПОСЛЕ правил для запретов достаточно. Разрешений заходить внутрь тут не вижу.

Если хотите добавить правила спереди, то добавьте эти правила в цепочку DOCKER-USER . Она выполнится перед этими ацептами. Докер не перетирает эту цепочку при рестарте.

Используй команду iptables-save - в ней видно что происходит. Вместе с iptables-restore эти команды удобны для хранения и накатывания "своих" правил.