(visto en reddit) PSA: Docker bypasses UFW - your database might be exposed even with firewall enabled

[MuadDib69]

https://www.reddit.com/r/docker/comment ... _might_be/
UFW=uncomplicated firewall (leo que viene de serie en ubuntu, no sé en Pi OS...)
¿nos afecta?
¿cómo lo comprobamos?
¿lo podemos remediar?

[egrueda]

No ha durado mucho en reddit: "Sorry, this post has been removed by the moderators of r/docker."
En estos casos mejor enlazar con la noticia original. ¿tienes algún otro enlace? ¿qué decía?

[MuadDib69]

Vaya, no hice captura... y en wayback machine no la han almacenado.
Decía algo así (de memoria) como que si instalas docker con el típico compose que pone los puertos así

Código: Seleccionar todo

XXXX:XXXX

, la base de datos queda expuesta incluso a través del tal UFW y que para prevenirlo había que utilizar

Código: Seleccionar todo

127.0.0.1:XXXX:XXXX

.
(puede que esto no sea exacto, no me acuerdo)
Solo he podido recuperar esto porque se lo pasé a un amiguete del foro por telegram:

https://imgur.com/a/fiQJMh9

[egrueda]

Vale, ya veo de qué se trata. Y siguen con la misma desde hace... ¿5 años?
https://www.reddit.com/r/selfhosted/com ... asses_ufw/

Aquí vuelvo a decir lo de siempre: las fuentes fiables.
Una persona en reddit o en otra red social que no entiende cómo funcionan las cosas sólo puede llegar a conclusiones erróneas y a cagadas monumentales.

UFW es una interfaz para iptables.
Docker crea reglas de iptables. No "se salta" UFW (o sea, no podría), sino que lo usa para crear reglas.

Pero lo más importante, ¿por eso los servicios docker están expuestos a internet? ¿en serio?
Parece que esa persona se olvida del router, firewall o cualquier otro dispositivo que hace NAT.
Para que alguien acceda a un servicio docker de tu red privada, ese servicio o servidor deben estar expuestos en el firewall o router, abriendo puertos o similar.

En fin, entiendo que borren el post :-)

[MuadDib69]

No sé mucho del tema, pero también pensaba que en el NAT del router habitualmente solo se deja pasar al gestor de torrents...
Gracias una vez más.