Docker и UFW: почему контейнеры могут обходить брандмауэр и как это исправить
Когда на сервере появляется Docker, привычная логика защиты часто перестаёт работать так, как ожидает администратор. На экране UFW может быть написано «deny», а порт контейнера при этом всё равно остаётся доступным извне. Причина не в «поломке» UFW, а в том, как Docker встраивается в сетевой стек Linux и использует Netfilter для NAT и маршрутизации трафика. Суть проблемы в том, что UFW по умолчанию ориентируется на цепочку INPUT, то есть на трафик, который идёт к локальным процессам самого хоста...