| 加固项 | 容器端口暴露面 |
|---|---|
| 适用平台 | Linux（Docker + ufw） |
| 风险等级 | 高 |
| 基线 | DOCKER-USER 链白名单 |
验证是否绕过
验证是否绕过
sudo iptables -t nat -L DOCKER -n --line-numbers | head
sudo iptables -L DOCKER-USER -n --line-numbers
ss -tulnp | grep docker在 DOCKER-USER 链做白名单（只放行 10.0.0.0/8 访问 8080）
在 DOCKER-USER 链做白名单（只放行 10.0.0.0/8 访问 8080）
sudo iptables -I DOCKER-USER -p tcp --dport 8080 ! -s 10.0.0.0/8 -j DROP更彻底的做法是 docker run 时绑定 127.0.0.1:port，让端口不出本机、由反向代理统一对外。