еще раз повторюсь

1. iptables-save
2. добавь контейнер с пробросом порта. Любой
3. iptables-restore
4. попробуй постучаться в контейнер созданный в п.2

какой сценарий это имитирует?

выстрелить в ногу и сказать, что докер говно

а если серьезно - любое взаимодействие внешней управлялки файрволлом (ансиболь, сольт, паппет и любой scm) vs docker

еще накину

почему более 10+ контейнеров херово работают на одном хосте?

по крайней мере через компоуз

Ну так и используй внешнюю управлялку, а iptables оставь докеру

что ты говоришь?!

> iptables оставь докеру
это невозможно

Почему?

потому что очевидно могут быть соображения у ИБ (или у любого другого подразделения) на этот счет. Они хотят мочь настраивать файрвол в любой момент времени. Теоретически - повторюсь - теоретически можно скрестить внешнюю управлялку с управлением докером своими цепочками. Но это сложно и ломко. Ты сказал верную вещь, что круто это выносить на уровень IaaS, но, к сожалению, это не всегда возможно. Поэтому живем с чем живем и пытаемся есть этот кактус

у ИБ обычно есть свой внешний FW, которым они и управляют
если это не публичное облако, конечно.

т.е. внутренний периметр не нужно отделять внутри на микросегменты?

просто если весь траф пускать через какую-то корневую циску... ну, это тоже дорого и ломко. И аслки настраивать - бас фактор.

Ну пусть настраивают. Просто их хуки будут раньше отрабатывать при прохождении пакета по стеку

🤦‍♂️🤦‍♂️🤦‍♂️🤦‍♂️

вот откуда вы такие спорщики беретесь?

https://t.me/spb_reliability/9078 - к этому эксперименту вопросы, дополнения есть?