Khắc phục lỗi UFW không hoạt động khi sử dụng Docker

Cách đây hơn 1 tháng có bạn đã gửi câu hỏi trong bài viết Hướng dẫn cài đặt Netdata như sau: “Bạn cho mình hỏi cách khóa truy cập thông qua địa chỉ ip:port cụ thể được không, hiện tại mình dùng ufw để block port 19999 nhưng khi truy cập qua ip của vps dưới dạng x.x.x.x:19999 thì vẫn vào được trang netdata.”

Sau đó mình kiểm tra lại thì mới phát hiện ra rằng trên máy chủ Linux, tường lửa UFW sẽ không hoạt động nếu Docker đang được kích hoạt: UFW không chặn được truy cập các port được khai báo bởi Docker

Cụ thể lỗi và cách khắc phục lỗi các bạn xem tiếp bên dưới sẽ rõ.

I. Kích hoạt UFW

Cài đặt UFW bằng lệnh sudo apt install ufw -y, sau đó mở cổng 22 và kích hoạt UFW trên hệ thống

1
ufw allow ssh
2
ufw default deny incoming
3
ufw enable

Kiểm tra tình trạng hoạt động của ufw bằng lệnh ufw status, sẽ thấy trạng thái active (đang hoạt động)

1
Status: active
2

3
To                         Action      From
4
-- ------ ----
5
22/tcp                     ALLOW       Anywhere
6
22/tcp (v6)                ALLOW       Anywhere (v6)

Mình sử dụng 1 máy tính khác để kiểm tra port 8888 của máy chủ (IP: xxx.xxx.xxx.xxx) có đang mở không. Sử dụng lệnh:

1
nmap -Pn -p 80 xxx.xxx.xxx.xxx

Kết quả trả về sẽ thấy cổng 8888 đang bị chặn (STATE: filtered)

1
Starting Nmap 7.93 ( https://nmap.org ) at 2022-11-27 17:17 +07
2
Nmap scan report for static.xxx.xxx.xxxclients.your-server.de (xxx.xxx.xxx.xxx)
3
Host is up.
4

5
PORT     STATE    SERVICE
6
8888/tcp filtered sun-answerbook
7

8
Nmap done: 1 IP address (1 host up) scanned in 2.06 seconds

II. Kích hoạt Docker

Mình kích hoạt Smokeping trên máy chủ, sử dụng file docker-compose.yml với nội dung như sau

1
---
2
version: "2.1"
3
services:
4
  smokeping:
5
    image: lscr.io/linuxserver/smokeping
6
    container_name: smokeping
7
    environment:
8
      - PUID=1000
9
      - PGID=1000
10
      - TZ=Asia/Ho_Chi_Minh
11
    volumes:
12
      - ./config:/config
13
      - ./data:/data
14
    ports:
15
      - 8888:80
16
    restart: unless-stopped

III. Cổng 8888 giờ đã được mở

Giờ kiểm tra port 8888 lại từ máy tính khác

1
nmap -Pn -p 80 xxx.xxx.xxx.xxx

1
Starting Nmap 7.93 ( https://nmap.org ) at 2022-11-27 17:21 +07
2
Nmap scan report for static.xxx.xxx.xxxclients.your-server.de (xxx.xxx.xxx.xxx)
3
Host is up (0.28s latency).
4

5
PORT     STATE SERVICE
6
8888/tcp open  sun-answerbook
7

8
Nmap done: 1 IP address (1 host up) scanned in 0.34 seconds

Ngạc nhiên chưa! Cổng 8888 giờ đã chuyển sang trạng thái open, mặc dù đã thiết lập UFW chặn tất cả cổng trừ cổng 22 của SSH.

Đây là một lỗi bảo mật nguy hiểm vì cứ tưởng hệ thống đã được UFW bảo vệ, nhưng hóa ra lại không.

IV. Nguyên nhân gây lỗi

Nguyên nhân khiến UFW không còn hoạt động là do Docker có quyền chỉnh sửa trực tiếp vào iptables của hệ thống. Khi kích hoạt Smokeping, Docker tự động thêm Rule DNAT vào iptables, giúp truy cập được cổng 8888 từ bên ngoài.

Kiểm tra iptables bằng lệnh sau

1
iptables -t nat --list | grep 8888

Sẽ thấy kết quả như dưới đây

1
DNAT       tcp  -- anywhere             anywhere             tcp dpt:8888 to:172.20.0.2:80

V. Cách khắc phục

Có hai cách để khắc phục lỗi UFW không hoạt động khi sử dụng Docker.

1. Ngăn Docker chỉnh sửa iptables

Chỉnh sửa file /etc/docker/deamon.json

1
sudo nano /etc/docker/daemon.json

Thêm vào dòng { "iptables" : false } và lưu lại.

Khởi động lại Docker bằng lệnh

1
sudo service docker restart

Kiểm tra lại kết nối từ bên ngoài, giờ đã yên tâm cổng 8888 đã bị khóa.

1
Starting Nmap 7.93 ( https://nmap.org ) at 2022-11-27 16:27 +07
2
Nmap scan report for static.xxx.xxx.xxxclients.your-server.de (xxx.xxx.xxx.xxx)
3
Host is up.
4

5
PORT     STATE    SERVICE
6
8888/tcp filtered http-proxy
7

8
Nmap done: 1 IP address (1 host up) scanned in 2.04 seconds

Ưu và nhược điểm của cách này như sau:

• Ưu điểm: chỉnh sửa nhanh, gọn, lẹ, phù hợp với các máy chủ chỉ chạy 1-2 dịch vụ Docker.

• Nhược điểm: tính năng quản lý mạng của Docker bị vô hiệu hóa, khiến cho các dịch vụ mạng khởi tạo sau đó sẽ không thể truy cập được mạng Internet.

Nếu muốn dịch vụ Docker truy cập được mạng Internet, phải chỉnh sửa file cấu hình của UFW:

1
nano /etc/default/ufw

Thêm vào dòng sau để mở kết nối mạng cho Docker network:

1
-A POSTROUTING ! -o docker0 -s 172.17.0.0/16 -j MASQUERADE

Trong đó 172.17.0.0/16 là Subnet của Docker network. Nếu có nhiều Docker network, phải thêm nhiều dòng tương ứng

2. Sử dụng ufw-docker

Để vừa bảo đảm các rule tường lửa của UFW hoạt động trơn tru, vừa giúp Docker duy trì tính năng quản lý mạng, chúng ta sẽ nhờ đến sự trợ giúp của công cụ ufw-docker.

Chi tiết cách thức hoạt động khá là rắc rối, được ghi trên trang Github. Để dễ hiểu, mình chỉ tải về và sử dụng.

1
sudo wget -O /usr/local/bin/ufw-docker \
2
  https://github.com/chaifeng/ufw-docker/raw/master/ufw-docker
3
sudo chmod +x /usr/local/bin/ufw-docker

Nếu bạn đã chỉnh sửa file /etc/docker/deamon.json theo hướng dẫn ở cách 1, cần phải xóa nó đi và khởi động lại Docker

1
sudo rm /etc/docker/deamon.json
2
sudo service docker restart

Cài đặt ufw-docker bằng lệnh sau, nó sẽ thêm một số rule vào file after.rules của ufw

1
ufw-docker install

Sau đó, kích hoạt lại Smokeping, sẽ thấy port 8888 giờ đã bị chặn truy cập từ bên ngoài.

Để mở truy cập vào tất cả các cổng đang mở của Smokeping, mình dùng lệnh sau

1
ufw-docker allow smokeping

Hệ thống sẽ hiện ra thông báo các rule được thêm vào ufw như dưới đây

1
allow smokeping 80/tcp smokeping_default
2
ufw route allow proto tcp from any to 172.18.0.2 port 80 comment allow smokeping 80/tcp smokeping_default

Kiểm tra lại từ máy bên ngoài, port 8888 giờ đã truy cập thành công

1
Starting Nmap 7.93 ( https://nmap.org ) at 2022-11-28 19:27 +07
2
Nmap scan report for static.xxx.xxx.xxxclients.your-server.de (xxx.xxx.xxx.xxx)
3
Host is up (0.35s latency).
4

5
PORT     STATE SERVICE
6
8888/tcp open  sun-answerbook
7

8
Nmap done: 1 IP address (1 host up) scanned in 0.38 seconds

Để xem các lệnh khác của ufw-docker, gõ

1
ufw-docker help

Kết quả

1
Usage:
2
  ufw-docker <list|allow> [docker-instance-id-or-name [port[/tcp|/udp]] [network]]
3
  ufw-docker delete allow [docker-instance-id-or-name [port[/tcp|/udp]] [network]]
4

5
  ufw-docker service allow <swarm-service-id-or-name <port</tcp|/udp>>>
6
  ufw-docker service delete allow <swarm-service-id-or-name>
7

8
  ufw-docker <status|install|check|help>
9

10
Examples:
11
  ufw-docker help
12

13
  ufw-docker check           # Check the installation of firewall rules
14
  ufw-docker install         # Install firewall rules
15

16
  ufw-docker status
17

18
  ufw-docker list httpd
19

20
  ufw-docker allow httpd
21
  ufw-docker allow httpd 80
22
  ufw-docker allow httpd 80/tcp
23
  ufw-docker allow httpd 80/tcp default
24

25
  ufw-docker delete allow httpd
26
  ufw-docker delete allow httpd 80/tcp
27
          ufw-docker delete allow httpd 80/tcp default
28

29
  ufw-docker service allow httpd 80/tcp
30

31
  ufw-docker service delete allow httpd

Ví dụ, mình có thể kiểm tra các rule đã được thêm vào bởi ufw-docker bằng lệnh ufw-docker status, kết quả sẽ hiện ra như bên dưới

1
[ 3] 172.18.0.2 80/tcp          ALLOW FWD   Anywhere                   # allow smokeping 80/tcp smokeping_default

Vậy là xong. UFW và Docker giờ đã hoạt động êm ái cùng nhau.