[Debian] Docker media server beveiligen (ufw/iptables?)

[Vaenir]

Ik heb thuis een mediaserver in de meterkast staan waarop Debian 9 server draait met diverse Docker containers. Enkele voorbeelden zijn: Plex, Radarr, Sonarr, Organizr v2. Mijn doel is eigenlijk om er een Docker image van nextcloud bij te gooien maar ik kom er totaal niet uit hoe ik dit moet beveiligen naar de buitenwereld toe. Ik heb al zoveel geprobeerd en gegoogled, dat ik even de bomen door het bos niet meer zie.

Momenteel draait alles lokaal perfect en weet ik hoe ik alles naar buiten toe kan krijgen d.m.v. Nginx en een reverse proxy. Alleen het stukje beveiligen is mij niet helemaal duidelijk.

Ik heb al eens eerder geprobeerd om met ufw te werken. Echter communiceren de Docker containers niet meer met elkaar en moet ik elke poort die gebruikt wordt weer open zetten. Nu lijkt mij dit al een probleem an sich?

Mijn vraag is nu eigenlijk: Hoe laat ik de Docker containers intern met elkaar communiceren, zet ik een firewall op en laat ik alleen https (443) naar buiten communiceren?

[CAPSLOCK2000]

Ken je het verschil tussen Publish en Expose?
Met Publish geef je poorten aan die andere containers mogen gebruiken.
Met Expose geef je poorten aan die ook aan de buitenwereld getoond worden.

Ik heb al eens eerder geprobeerd om met ufw te werken. Echter communiceren de Docker containers niet meer met elkaar en moet ik elke poort die gebruikt wordt weer open zetten. Nu lijkt mij dit al een probleem an sich?

Ik zie het probleem niet, dat is toch precies de bedoeling van een firewall? Dat je alles blokkeert en alleen poorten doorlaat die jij hebt goedgekeurd.
Je kan je wel afvragen hoeveel zin het heeft om een firewall te draaien tussen containers aangezien die toch niet vrij mogen communiceren.
Je hoeft je firewall dus eigenlijk alleen op je externe netwerkinterface te draaien.

[Vaenir]

Dus als ik je goed begrijp dan heb ik op mijn server niks nodig maar hoef ik enkel poort 443 op mijn fritzbox open te zetten en naar mijn server te verwijzen? Dit was mijn bedoeling maar ik had mijn twijfels bij de veiligheid daarvan.

[kunnen]

Om gepubliceerde dockerpoorten op je host te firewallen kun je gebruik maken van iptables, waar automatisch een chain DOCKER-USER aan toegevoegd wordt. Hier kun je connecties droppen e.d.