Docker и фильтрация сетевого трафика

Мне кажется, что никак. Такие вопросы надо решать архитектурно, то есть либо чтобы в контейнере не было больше процессов, либо разруливать сетевые доступы с хоста.

И с помощью iptables никак? Контейнер можно подключить к виртуальной сети, а затем как-нибудь фильтровать трафик?

Так, падажжи, в контейнере не может быть более одного процесса. Иначе ты его неправильно используешь.

Так, падажжи, в контейнере не может быть более одного процесса. Иначе ты его неправильно используешь.

Ахаха, расскажи нам про это больше.

ТС, разреши только входящие соединения на нужный порт, + RELATED, ESTABLISHED. iptables для этого вполне подойдёт.

Ахаха, расскажи нам про это больше.

Нет, давай ты расскажи: что у тебя там в контейнерах? systemd и куча сервисов?

php-fpm + nginx, например.

ехал докер, через докер
видит докер в докере докер
сунул докер в докер докер
докер докер докер докер

Gitlab-ce смотрит на тебя с недоумением.

TestKitchen с драйвером Docker лучше не запускай - там можешь найти этот самый ужас докеровода: init и кучу сервисов.

Контейнер можно подключить к виртуальной сети, а затем как-нибудь фильтровать трафик?

В пакете нет «формулировки» «я из процесса vnc-сервер». Варианты фильтрации по процессам, это например запуск от отдельного uid или в отдельном netns.

докер головного мозга