Не получается настроить проброс порта

[winmasta]

Всем добрый день, бьюсь весь день, наверное глаз замылился, подскажите, почему не работает проброс порта внутрь ?

cat /proc/sys/net/ipv4/ip_forward
1


iptables-save

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.6.0 on Tue Aug  8 14:35:35 2017
*mangle
:PREROUTING ACCEPT [24524:2815492]
:INPUT ACCEPT [19901:2356000]
:FORWARD ACCEPT [4463:449892]
:OUTPUT ACCEPT [17291:2698981]
:POSTROUTING ACCEPT [21754:3148873]
COMMIT
# Completed on Tue Aug  8 14:35:35 2017
# Generated by iptables-save v1.6.0 on Tue Aug  8 14:35:35 2017
*nat
:PREROUTING ACCEPT [306:17663]
:INPUT ACCEPT [24:1440]
:OUTPUT ACCEPT [40:2515]
:POSTROUTING ACCEPT [40:2515]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A PREROUTING -i eth0 -p tcp -m tcp --dport 8500 -j DNAT --to-destination 127.0.0.1
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.17.0.2/32 -d 172.17.0.2/32 -p tcp -m tcp --dport 9090 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
-A DOCKER ! -i docker0 -p tcp -m tcp --dport 9090 -j DNAT --to-destination 172.17.0.2:9090
COMMIT
# Completed on Tue Aug  8 14:35:35 2017
# Generated by iptables-save v1.6.0 on Tue Aug  8 14:35:35 2017
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [126:17603]
:DOCKER - [0:0]
:DOCKER-ISOLATION - [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 31.211.67.210/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 31.211.67.210/32 -p tcp -m tcp --dport 9090 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8300 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8301 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8302 -j ACCEPT
-A INPUT -p udp -m udp --dport 8301 -j ACCEPT
-A INPUT -p udp -m udp --dport 8302 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -d 127.0.0.1/32 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -s 31.211.67.210/32 -p tcp -m tcp --dport 8500 -j ACCEPT
-A INPUT -j LOG --log-prefix iptables
-A FORWARD -j DOCKER-ISOLATION
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A FORWARD -s 31.211.67.210/32 -i eth0 -p tcp -m tcp --dport 8500 -j ACCEPT
-A DOCKER -d 172.17.0.2/32 ! -i docker0 -o docker0 -p tcp -m tcp --dport 9090 -j ACCEPT
-A DOCKER-ISOLATION -j RETURN
COMMIT
# Completed on Tue Aug  8 14:35:35 2017

1) на локальной машине telnet 127.0.0.1 8500 дает соединение
2) с машины 31.211.67.210 telnet на внешний ip локальной машины на порт 8500 отваливается по таймауту
3) в этот момент на локальной машине tcpdump -i eth0 dst port 8500 видно пакеты, но при этом на tcpdump -i lo dst port 8500 из почему-то нет

Делаю вывод, что неправильно настроен iptables, но не пойму где.

[AnrDaemon]

А зачем НАТИТЬ на локалхост?…

[winmasta]

А зачем НАТИТЬ на локалхост?…

На нем висит web сервер из контейнера, который нет возможности на внешний адрес повесить. Да и вообще хотелось бы понять в чем дело, раньше вроде так все работало.

[victor00000]

http://speed-tester.info/check_port.php

[winmasta]

http://speed-tester.info/check_port.php

как бы и телнет справляется, тем более что там фильтрация по ip
Пользователь добавил сообщение 08 Августа 2017, 18:55:02:Сейчас попробовал повесить приложение на внешний адрес - не работает. Возможно само приложение не дает пользоваться портом внешним ip адресам...

[fisher74]

Я не силён в docker, но быстрогуглиннг навёл на то что он сам умеет порты пробрасывать как-то так
docker run -p 127.0.0.1:8500:8500

Или я не правильно понял ТЗ?

[AnrDaemon]

На нем висит web сервер из контейнера, который нет возможности на внешний адрес повесить. Да и вообще хотелось бы понять в чем дело, раньше вроде так все работало.

nginx reverse proxy.

[winmasta]

Я не силён в docker, но быстрогуглиннг навёл на то что он сам умеет порты пробрасывать как-то так
docker run -p 127.0.0.1:8500:8500

Или я не правильно понял ТЗ?

нужный нам контейнер работает с флагом --net=host т.е. в сети хоста
Пользователь добавил сообщение 09 Августа 2017, 04:14:27:

На нем висит web сервер из контейнера, который нет возможности на внешний адрес повесить. Да и вообще хотелось бы понять в чем дело, раньше вроде так все работало.

nginx reverse proxy.

спасибо, попробую
Пользователь добавил сообщение 09 Августа 2017, 16:24:08:

На нем висит web сервер из контейнера, который нет возможности на внешний адрес повесить. Да и вообще хотелось бы понять в чем дело, раньше вроде так все работало.

nginx reverse proxy.

получилось спасибо

[AnrDaemon]

нужный нам контейнер работает с флагом --net=host т.е. в сети хоста

Тогда при чём тут локалхост?…

получилось спасибо

Решений на самом деле несколько, но в случае вебхостинга это одно из наиболее удобных.