我刚刚试用了Docker。它很棒，但似乎不能与ufw配合使用。默认情况下，docker将对iptables进行一些操作。结果不是错误，而是我的预期。有关更多详细信息，请阅读UFW
+ Docker的危险

我的目标是建立一个像

    Host (running ufw) -> docker container 1 - nginx (as a reverse proxy)
                       -> docker container 2 - node web 1
                       -> docker container 3 - node web 2
                       -> .......

我想通过ufw管理传入流量（例如，限制访问），因此我不希望docker触摸我的iptables。这是我的测试

环境：

• 新安装的Ubuntu 14.04（内核：3.13.0-53）
• Docker 1.6.2
• 启用UFW转发。（启用UFW转发）
• --iptables=false 已添加到Docker守护程序中。

第一次尝试

docker run --name ghost -v /home/xxxx/ghost_content:/var/lib/ghost -d ghost
docker run --name nginx -p 80:80 -v /home/xxxx/nginx_site_enable:/etc/nginx/conf.d:ro --link ghost:ghost -d nginx

没运气。第一个命令很好，但是第二个命令会抛出错误

Error response from daemon: Cannot start container

第二次尝试

然后我发现了这一点：无法使用–iptables =
false链接容器＃12701

运行以下命令后，一切看起来都正常。

sudo iptables -N DOCKER

但是，我注意到我无法在容器内建立任何出站连接。例如：

xxxxg@ubuntu:~$ sudo docker exec -t -i nginx /bin/bash
root@b0d33f22d3f4:/# ping 74.125.21.147
PING 74.125.21.147 (74.125.21.147): 56 data bytes
^C--- 74.125.21.147 ping statistics ---
35 packets transmitted, 0 packets received, 100% packet loss
root@b0d33f22d3f4:/#

如果我--iptables=false从Docker守护程序中删除，那么容器的互联网连接将恢复正常，但是ufw将无法“正常”工作（根据我的定义）。

那么，docker + ufw的最佳实践是什么？谁能提供帮助？

谢谢。

巴特