利用iptables防火墙禁止docker容器访问外网

之前有介绍过用iptables限制其他IP访问Docker里的服务，详见：https://blog.terrynow.com/2022/01/03/docker-container-port-iptables-firewall-settings/

本次的需求是要限制Docker里的容器访问外网，比较简单，关键的一句，插入DOCKER-USER链，如下：

iptables -I DOCKER-USER -d 0.0.0.0/0 -o docker0 -j REJECT

查看防火墙规则：

iptables -S DOCKER-USER

-N DOCKER-USER
-A DOCKER-USER -o docker0 -j REJECT --reject-with icmp-port-unreachable
-A DOCKER-USER -j RETURN

保存：

iptables-save > /etc/sysconfig/iptables