通过iptables限制docker 容器的运行端口

通过在iptables DOCKER-USER 添加规则禁止特定端口访问，主要是有两个点

1.添加 DOCKER-USER 链添加

2.禁止端口是映射到容器端口

假如起一个mysql镜像，暴露在宿主机的端口为9000，容器实际使用为3306端口，这个时候，应该禁止3306端口。

iptables -I DOCKER-USER  -p tcp --dport 3306 -j DROP
iptables -I DOCKER-USER  -s 10.11.105.236 -p tcp --dport 3306 -j ACCEPT