Trả lời nhanh: Docker network security chỉ nên được bật sau khi đã xác định principal, boundary và đường deny. Bài này đưa cấu hình/lệnh có thể chạy ở staging, cách kiểm tra output và điều kiện revoke/rollback; thay hostname, version và quyền bằng giá trị của hệ thống thật.
Phạm vi: Bài áp dụng cho Bridge mặc định trong môi trường staging/standalone. Kiểm tra Nginx/Docker/OS/database và phiên bản CLI thực tế trước khi chạy; không đưa credential thật vào lệnh, log hay artifact.
Tín hiệu cần đối chiếu: Bridge mặc định; custom network; `internal`; mối đe dọa; cấu hình/lệnh; output kỳ vọng; rollback/thu hồi
Bridge mặc định — thao tác và bằng chứng
Ở mục này, hãy trả lời câu hỏi quyền nào được phép chạm vào Bridge mặc định và dữ liệu nào phải bị chặn. Với Docker network security, xác định principal, boundary và đường deny trước khi bật policy. Docker—Networking overview
Nếu allow hoạt động nhưng deny không có log tương ứng, policy đang mở sai hoặc audit chưa gắn đúng hook. Tạm dừng rollout, giữ config hash và kiểm tra lại trên staging. (docker-network-bridge-internal-egress · outline 1)
Với Bridge mặc định, ghi lại input và phiên bản CLI trước khi chạy; sau đó đối chiếu từng tín hiệu mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Bridge mặc định, custom network, `internal` trong stdout, stderr hoặc log audit. Kết quả đạt phải chỉ ra trạng thái và phạm vi tài nguyên; kết quả lỗi phải có chuỗi nhận diện để người trực ca biết bước khoanh vùng kế tiếp. Gắn transcript với docker-network-bridge-internal-egress, commit/config hash, owner và timestamp. Không dùng exit code đơn độc làm bằng chứng. Che token, private key, cookie và PII trước khi lưu artifact; giữ bản raw trong kho có quyền hạn nếu incident yêu cầu.
custom network — thao tác và bằng chứng
Đặt thay đổi custom network trong file/version riêng để có thể diff. Lệnh `docker exec api getent hosts db` chỉ là điểm kiểm tra; đối chiếu mối đe dọa với cấu hình/lệnh, không suy ra an toàn chỉ từ exit code 0. Docker—Networking overview
Nếu phát hiện credential trong layer/log/backup, revoke hoặc rotate trước khi dọn artifact. Rollback cấu hình không thu hồi được secret đã lộ. (docker-network-bridge-internal-egress · outline 2)
Một lần kiểm tra custom network chỉ có giá trị khi lặp lại được. Chốt workload, hostname, digest hoặc schema, rồi chạy lệnh tương ứng với docker-network-bridge-internal-egress. Đối chiếu các tín hiệu bắt buộc (mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Bridge mặc định, custom network, `internal`) với expected output và error signature; nếu thiếu dữ liệu, ghi unknown. So sánh baseline trước/sau trong cùng cửa sổ và nêu rõ điều gì không được suy ra từ phép đo. Artifact thay đổi cần ghi config diff đã redact, người chịu trách nhiệm và thời điểm hết hạn exception trước khi promote.
`internal` — thao tác và bằng chứng
Khi rà `internal`, thử cả request hợp lệ và request bị từ chối. Ghi user/role, status, log key và thời điểm; che token, cookie, private key trước khi lưu artifact. Docker—Networking overview
Sau khi sửa, chạy lại test với tài khoản ít quyền nhất và một tài khoản bị từ chối. Chỉ promote khi kết quả khớp threat model và đã lưu đủ bằng chứng allow/deny. (docker-network-bridge-internal-egress · outline 3)
Đừng gộp `internal` vào một checklist chung. Tạo một phép thử nhỏ có điều kiện, ghi command, exit code, metric và log line riêng cho docker-network-bridge-internal-egress. Các marker mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Bridge mặc định, custom network, `internal` phải xuất hiện ở đúng section để người đọc có thể truy từ claim tới evidence. Khi kết quả không khớp expected (Output của docker-network-bridge-internal-egress phải có trạng thái success và error phân biệt bằng exit code/stderr; unknown flag, permission denied hoặc timeout dẫn tới nhánh khoanh vùng riêng.), dừng rollout/restore, giữ hiện trường và mở issue thay vì sửa nhiều biến cùng lúc. Artifact công khai chỉ chứa giá trị đã che và hash kiểm chứng.
publish port — thao tác và bằng chứng
Ở mục này, hãy trả lời câu hỏi quyền nào được phép chạm vào publish port và dữ liệu nào phải bị chặn. Với Docker network security, xác định principal, boundary và đường deny trước khi bật policy. Docker—Networking overview
Nếu allow hoạt động nhưng deny không có log tương ứng, policy đang mở sai hoặc audit chưa gắn đúng hook. Tạm dừng rollout, giữ config hash và kiểm tra lại trên staging. (docker-network-bridge-internal-egress · outline 4)
Trong runbook của docker-network-bridge-internal-egress, publish port là điểm quyết định: allow/deny, ready/not-ready, pass/fail hoặc baseline/regression. Định lượng bằng tín hiệu mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Bridge mặc định, custom network, `internal`, ghi phiên bản và phạm vi áp dụng, rồi nêu ngưỡng chuyển sang rollback. Một output xanh nhưng dependency hoặc health đỏ vẫn là fail. Sau khi sửa, chạy lại cùng lệnh và lưu kết quả cạnh config hash; revoke/rotate credential trước khi dọn mọi bản sao chứa secret.
DNS service — thao tác và bằng chứng
Đặt thay đổi DNS service trong file/version riêng để có thể diff. Lệnh `docker exec api getent hosts db` chỉ là điểm kiểm tra; đối chiếu mối đe dọa với cấu hình/lệnh, không suy ra an toàn chỉ từ exit code 0. Docker—Networking overview
Nếu phát hiện credential trong layer/log/backup, revoke hoặc rotate trước khi dọn artifact. Rollback cấu hình không thu hồi được secret đã lộ. (docker-network-bridge-internal-egress · outline 5)
Với DNS service, ghi lại input và phiên bản CLI trước khi chạy; sau đó đối chiếu từng tín hiệu mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Bridge mặc định, custom network, `internal` trong stdout, stderr hoặc log audit. Kết quả đạt phải chỉ ra trạng thái và phạm vi tài nguyên; kết quả lỗi phải có chuỗi nhận diện để người trực ca biết bước khoanh vùng kế tiếp. Gắn transcript với docker-network-bridge-internal-egress, commit/config hash, owner và timestamp. Không dùng exit code đơn độc làm bằng chứng. Che token, private key, cookie và PII trước khi lưu artifact; giữ bản raw trong kho có quyền hạn nếu incident yêu cầu.
egress firewall — thao tác và bằng chứng
Khi rà egress firewall, thử cả request hợp lệ và request bị từ chối. Ghi user/role, status, log key và thời điểm; che token, cookie, private key trước khi lưu artifact. Docker—Networking overview
Sau khi sửa, chạy lại test với tài khoản ít quyền nhất và một tài khoản bị từ chối. Chỉ promote khi kết quả khớp threat model và đã lưu đủ bằng chứng allow/deny. (docker-network-bridge-internal-egress · outline 6)
Một lần kiểm tra egress firewall chỉ có giá trị khi lặp lại được. Chốt workload, hostname, digest hoặc schema, rồi chạy lệnh tương ứng với docker-network-bridge-internal-egress. Đối chiếu các tín hiệu bắt buộc (mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Bridge mặc định, custom network, `internal`) với expected output và error signature; nếu thiếu dữ liệu, ghi unknown. So sánh baseline trước/sau trong cùng cửa sổ và nêu rõ điều gì không được suy ra từ phép đo. Artifact thay đổi cần ghi config diff đã redact, người chịu trách nhiệm và thời điểm hết hạn exception trước khi promote.
test bằng curl — thao tác và bằng chứng
Ở mục này, hãy trả lời câu hỏi quyền nào được phép chạm vào test bằng curl và dữ liệu nào phải bị chặn. Với Docker network security, xác định principal, boundary và đường deny trước khi bật policy. Docker—Networking overview
Nếu allow hoạt động nhưng deny không có log tương ứng, policy đang mở sai hoặc audit chưa gắn đúng hook. Tạm dừng rollout, giữ config hash và kiểm tra lại trên staging. (docker-network-bridge-internal-egress · outline 7)
Đừng gộp test bằng curl vào một checklist chung. Tạo một phép thử nhỏ có điều kiện, ghi command, exit code, metric và log line riêng cho docker-network-bridge-internal-egress. Các marker mối đe dọa, cấu hình/lệnh, output kỳ vọng, rollback/thu hồi, Bridge mặc định, custom network, `internal` phải xuất hiện ở đúng section để người đọc có thể truy từ claim tới evidence. Khi kết quả không khớp expected (Output của docker-network-bridge-internal-egress phải có trạng thái success và error phân biệt bằng exit code/stderr; unknown flag, permission denied hoặc timeout dẫn tới nhánh khoanh vùng riêng.), dừng rollout/restore, giữ hiện trường và mở issue thay vì sửa nhiều biến cùng lúc. Artifact công khai chỉ chứa giá trị đã che và hash kiểm chứng.
Recipe lệnh/config cho docker-network-bridge-internal-egress
Chạy ở staging cho Docker network security với hostname, path và digest đã thay bằng giá trị không nhạy cảm. Lưu exit code cùng stdout/stderr đã redact và gắn artifact với docker-network-bridge-internal-egress.
docker network inspect app_net
docker exec api getent hosts db
docker exec api sh -c 'nc -vz -w3 db 5432'Expected output và error signature — docker-network-bridge-internal-egress
Output của docker-network-bridge-internal-egress phải có trạng thái success và error phân biệt bằng exit code/stderr; unknown flag, permission denied hoặc timeout dẫn tới nhánh khoanh vùng riêng. Đối chiếu thêm version, timestamp, health/readiness và log liên quan; output minh họa không phải kết quả production.
Rollback và stop boundary của docker-network-bridge-internal-egress
Dừng promote docker-network-bridge-internal-egress khi quyền deny/allow hoặc audit không khớp threat model. Revoke/rotate credential đã lộ, giữ config hash và log, rồi khôi phục revision được owner xác nhận.
Failure mode cần tránh ở Bridge mặc định
- Bridge mặc định: thay đổi nhiều biến cùng lúc nên không biết nguyên nhân.
- Bridge mặc định: đọc exit code nhưng bỏ qua health, dependency hoặc error signature.
- Bridge mặc định: lưu secret/PII trong log, image layer, backup hoặc ảnh chụp.
- Bridge mặc định: rollback nhầm failure domain làm blast radius lớn hơn.
Đọc tiếp trong cùng cụm Linux/DevOps — docker-network-bridge-internal-egress
firewall tren linux và cau hinh nginx rate limit production
Nguồn chính thức cho docker-network-bridge-internal-egress
Docker—Networking overview; Docker—Bridge network
FAQ theo đúng chủ đề Docker network security
Bridge mặc định áp dụng cho phiên bản nào?
Kiểm tra version/tool và topology trước khi áp dụng Bridge mặc định. Chạy recipe ở trên trong staging; nếu expected/error signature khác, dừng và cập nhật runbook thay vì copy nguyên lệnh.
custom network áp dụng cho phiên bản nào?
Kiểm tra version/tool và topology trước khi áp dụng custom network. Chạy recipe ở trên trong staging; nếu expected/error signature khác, dừng và cập nhật runbook thay vì copy nguyên lệnh.
`internal` áp dụng cho phiên bản nào?
Kiểm tra version/tool và topology trước khi áp dụng `internal`. Chạy recipe ở trên trong staging; nếu expected/error signature khác, dừng và cập nhật runbook thay vì copy nguyên lệnh.
publish port áp dụng cho phiên bản nào?
Kiểm tra version/tool và topology trước khi áp dụng publish port. Chạy recipe ở trên trong staging; nếu expected/error signature khác, dừng và cập nhật runbook thay vì copy nguyên lệnh.
Cập nhật docker-network-bridge-internal-egress: 08/09/2026. Nội dung là runbook tham khảo; phải kiểm tra phiên bản, nguồn chính thức và rollback trong môi trường thật trước khi áp dụng. Safety boundary: Không thay thế tư vấn chuyên môn; kiểm tra tình huống thực tế trước khi áp dụng.