Vlákno názorů k článku Firewalld: vlastní zóna a práce se sadami adres od jk3. - Článek jsem jen prolistoval. V čem má výhodu...

Ale firewall to není od toho, aby rozhodoval, která pravidla jsou „správná“ a která jsou „špatná“! Jak má webserver rozpoznat, že se do aplikace přihlašuje útočník a ne uživatel?

Navíc, Ty přes Docker nenastavíš libovolná pravidla, aplikace Docker vytvoří potřebná pravidla nastaví je.

Ja jsem si myslel doted ze o tom co ma byt ve firewallu rozhoduje spravce…

To se nevylučuje s Dockerem - nainstaloval docker a přečetl si dokumentaci. Nakonfiguroval v dockeru síť a tím v souladu s dokumentací souhlasil s tím, co bude součástí firewallu. Bez toho by kontejnery nemohly fungovat dle očekávání.

Pořád můžeš dockeru zakázat sahat na síť a pravidla si nahodit sám. Při každém spuštění kontejneru, při jeho vypnutí, při jeho vytvoření a smazání. Při takovém ladění kontejneru to můžou být i dva/tři cykly za minutu. Velice rychle bys skončil u skriptu, který to udělá za Tebe. To už není daleko od toho, aby to za Tebe dělal Docker. Zvláště, když je to zdokumentované jednání.

Mimochodem, je vidět, že s Dockerem nemáš moc zkušeností. Jinak bys věděl, že ne každý uživatel může vytvářet kontejnery a podobně. Stejně tak docker, jako aplikace, není jen jedna binárka, je to CLI frontend, daemon a sada podpůrných skriptů.

Hele, ja rozumim tomu, ze pokud to ma root prava tak si to muze delat v systemu cokoliv. Stacilo napsat. Kdybych vedel vse tak se tady neptam, pouzivam par kontejneru pod macos ale nejakou zkusenost se spravou vetsiho kontejneroveho prostredi nemam(je to mimo muj obor a zajem).

Oba kolem toho kroužíme, každý z druhé strany...

S tím rootem, no, máš v principu pravdu. Ale tak nějak se všichni nejen u Dockeru spoléháme na to, že si to bude dělat co chce jen v rámci definovaného chování ;)

To, že jsem psal, že nemáš s Dockerem zkušenosti, neber prosím jako nějaké dehonestování Tvé osoby. Je to poznání z mé strany, že potřebuješ lépe vysvětlit problematiku a taky jsem to tak koncipoval. Já zase neumím jiné věci.

Ja jsem si myslel doted ze o tom co ma byt ve firewallu rozhoduje spravce…
Vždyť také ano. A někdy ten správce spustí Docker a nechá ho některá pravidla nastavit (protože to dává větší smysl, než aby mu Docker vypsal „teď musíš nastavit tahle pravidla“ a správce by šel a udělal to ručně).

V pripade dockeru sudo netreba, bezi ako daemon pod rootom aj v pripade "rootless" kontajneru. Preto radsej podman.