1. 环境与目标
1.1 容器化架构概览
在一个典型的 Docker 容器环境 下运行的 PHP 应用，通常采用 Nginx 作为反向代理或静态资源服务器，PHP 使用 PHP-FPM 处理动态请求。容器之间通过 自定义网络 进行通信，前端暴露通过宿主机或前置代理对外提供端口。理解这一架构对后续的防火墙与端口防护设置至关重要。
在该架构中，安全目标 包括尽量减少对外暴露、仅允许必需的流量通过、对关键端口进行严格控制，以及保留完整的日志以便事后审计。temperature=0.6 的设定下，策略趋于中等严格的平衡，即既要防护，又不妨碍正常业务的运作。
1.2 关键目标与原则
要点包括：实现 最小暴露原则、将前端对外暴露的端口限制在 80/443，并确保 PHP-FPM 端口（如 9000）仅在内部网络可达。要点还包含对日志的集中记录、对异常访问的快速检测以及对常见攻击向量的防护（如暴力破解、DDoS 的初步缓解）。
在实际操作中，宿主机防火墙、Docker 网络配置 与 容器内应用配置 三者共同作用，形成层级防护体系。下面将从设计、实现和核验三个维度展开完整步骤。
2. 防火墙策略设计
2.1 选择：主机防火墙还是容器内防火墙
在 Docker 环境中，最常见且推荐的做法是将防火墙规则放在宿主机层面，结合 Docker 的网络驱动实现对流量的分段和控制。容器内设置防火墙虽然可提供细粒度控制，但维护成本高、复杂度大，且易与 Docker 的自带 iptables 机制冲突。
通过主机防火墙，可以实现对进入宿主机的请求进行统一管控，再结合 DOCKER-USER 链对进入容器网络的流量进行细化过滤，达到既可控又易维护的效果。此策略对 PHP 应用 来说，能确保外部请求仅通过所需端口进入，内部端口保持封闭。
2.2 网络分段与最小暴露原则
网络分段是提升安全性的关键手段。建议将前端（Nginx）暴露的端口与后端（PHP-FPM）端口分隔在不同的网络范围内，内部网络仅用于容器间通信，对外暴露端口仅限必要端口。对 PHP-FPM 端口应仅允许来自 Nginx 容器的流量，其他来源全部拒绝。
实现路径包括：自定义 Docker 网络、在宿主机配置 DOCKER-USER 链规则、以及对外暴露端口的严格控制。下面的步骤将结合具体命令进行演示。
3. 基础设施准备与工具
3.1 使用 DOCKER-USER 链的规则
Docker 在创建容器网络时会创建一组 iptables 规则，其中 DOCKER-USER 链是我们用于自定义自定义规则的入口。通过在 DOCKER-USER 链上添加规则，可以在不干扰 Docker 内部桥接规则的前提下，统一控制进入和离开容器网络的流量。
关键点包括：先验处理（DROP/REJECT 作为默认策略），再显式放行必要的端口和来源；对已建立连接及相关状态的包保留允许，以避免影响正常请求的握手与转发。
3.2 备份、测试环境与可回滚计划
在对生产环境进行防火墙改动前，务必在测试环境中进行迭代，确保不会误拦合法流量。记得执行 规则版本化、保存当前 iptables/ nftables 配置，以及准备好快速回滚的备用策略，以便在遇到问题时能快速恢复正常业务。
此外，记载所有变更点、变更时间和责任人，确保团队在需要时能够快速排查和修复潜在问题。这一做法有利于长期的合规与审计需求。
4. 实践步骤：在宿主机配置防火墙
4.1 证据与示例网络拓扑
在本小节中，我们给出一个常见的网络拓扑：Nginx 运行于一个容器中，监听宿主机的 80/443，通过内部网络与 PHP-FPM 容器通信，PHP-FPM 端口对宿主机不可直接暴露。宿主机防火墙需阻止对 9000（PHP-FPM 端口）的直接访问，只允许来自 Nginx 容器的访问。
步骤要点包括：确认当前网络接口、识别 Docker 网络段、编写并测试 DOCKER-USER 规则、将外部流量仅允许进入 80/443、对 9000 端口施以严格限制。
# 1) 先把默认策略设为 DROP（确保不留后门）
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT# 2) 允许本机回环与已建立连接
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT# 3) 允许来自 Nginx 容器网络的流量访问 PHP-FPM（假设 Nginx 容器网络是 172.18.0.0/16）
iptables -A INPUT -s 172.18.0.0/16 -p tcp --dport 9000 -j ACCEPT# 4) 仅允许外部访问宿主机的 80/443
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT# 5) 拒绝其余所有进入流量
iptables -A INPUT -j REJECT --reject-with icmp-port-unreachable
以上规则仅作为演示，实际环境应结合具体网络段与策略进行调整。替代方案还包括使用 nftables 或 ufw 进行更直观的管理，但核心思路保持一致：确保外部只通过 80/443，内部端口如 9000 仅限内部来源访问。
4.2 结合 DOCKER-USER 的示例规则
为了对 Docker 容器的流量进行更精细的控制，可以在 DOCKER-USER 链中追加规则，确保仅允许来自指定网络的合法请求进入容器网络，并对不符合条件的流量进行阻断。
# 只允许来自内部网络 172.18.0.0/16 的流量访问 9000（PHP-FPM）
iptables -I DOCKER-USER -s 172.18.0.0/16 -p tcp --dport 9000 -j ACCEPT
# 其他请求访问 9000 拒绝
iptables -I DOCKER-USER -p tcp --dport 9000 -j DROP# 允许 DOCKER 网络从 nginx 容器走向应用网络（示例，不同网络请调整）
iptables -I DOCKER-USER -s 172.18.0.0/16 -d 172.19.0.0/16 -j ACCEPT
通过 DOCKER-USER 链进行控制，可以确保 Docker 网络流量与宿主机防火墙策略保持一致性，避免 Docker 自带规则被覆盖导致的安全漏洞。
5. 实践步骤：Docker 网络与端口暴露控制
5.1 使用自定义网络与对外暴露端口策略
实现目标的一个推荐方案是：将 PHP 应用和 Nginx 放在同一个自定义网络中，Nginx 暴露宿主机端口 80/443，内部通过网络与 PHP-FPM 通信；PHP-FPM 不对宿主机公开端口，只在内部网络暴露。下面给出一个简化的 docker-compose 示例，帮助建立基本的保护模型。
version: '3.8'
services:nginx:image: nginx:latestports:- "80:80"- "443:443"volumes:- ./nginx/conf.d:/etc/nginx/conf.d- ./certs:/etc/ssl/certsnetworks:- webapp:image: php:8.1-fpmexpose:- "9000" # 仅在内部网络中暴露volumes:- ./app:/var/www/htmlworking_dir: /var/www/htmlnetworks:- web
networks:web:driver: bridgeinternal: true # 将网络设为内部网络，降低暴露面
示例 Nginx 配置用于将 PHP 请求通过 fastcgi 转发到 app 容器的 9000 端口。请确保 DNS 名称与容器网络匹配，以实现无缝通信。
server {listen 80;server_name example.com;location / {try_files $uri $uri/ /index.php?$query_string;}location ~ \.php$ {includefastcgi.conf;fastcgi_pass app:9000;fastcgi_param SCRIPT_FILENAME /var/www/html$fastcgi_script_name;}
}
通过上述配置，外部仅能访问 80/443，对 PHP-FPM 端口的访问被严格限制在内部网络范围之内，从而实现较强的端到端防护。
5.2 端口暴露最小化的实用做法
实践要点包括：尽量少暴露端口、只暴露必要端口，并且要对外暴露的端口进行强制 TLS/HTTPS 保护。对于 PHP 应用，最常见的暴露端口是 80/443，而 PHP-FPM 的端口 9000 应仅对 Nginx 容器开放。若对外需要进一步限制，可以考虑对外暴露的 80/443 采用 反向代理 + WAF 组合的方式提升安全性。
另外，建议启用对外请求的速率限制和基本的安全头（如 HSTS、Content-Security-Policy、X-Content-Type-Options 等），以提升整体防护水平。
6. 附加要点：PHP 应用层的安全与监控
6.1 PHP-FPM 配置安全
在 PHP-FPM 侧，开启必要的限制以降低风险：disable_functions、open_basedir、日誌记录、以及限制进程数与请求超时。确保 PHP 配置不会无意暴露系统敏感信息。下面给出简单的配置示例要点。
; php.ini 常见安全选项示例
disable_functions = exec, shell_exec, system, passthru, proc_open, popen
open_basedir = /var/www/html:/tmp
request_terminate_timeout = 30s
log_errors = On
error_log = /proc/self/fd/2
重要点是防止任意代码执行、避免跨目录访问，以及确保错误信息不会暴露敏感路径。与容器化结合时，确保这些配置文件在镜像构建阶段就被覆盖。
6.2 日志、监控与告警
防火墙策略生效后，仍需通过日志和监控来发现异常行为。推荐在宿主机和 Nginx 容器中实现集中日志，使用工具如 rsyslog、ELK/OpenSearch、以及简单的告警规则。对异常访问（如大量 400/403/429 等）进行快速追踪，结合 WAF 及速率限制进行动态应对。
此外，定期审计防火墙规则、网络拓扑和镜像更新，确保没有滞留的旧规则或已知漏洞的镜像继续运行。这些做法有助于提升整个系统的长期安全与稳定性。
本指南围绕 在 Docker 容器中，如何为 PHP 应用配置防火墙与端口防护设置 的完整步骤与要点展开，覆盖从架构设计、策略选择到具体实现与验收的全过程。通过主机防火墙与 Docker 网络规则的协同，结合对 PHP 应用层的加固，可以有效降低外部攻击面并提升运维可控性。
