为了对运行在 Docker 中的 Apache APISIX 进行安全加固并阻止特定端口访问，可以采取以下措施： ### 1. 配置 Docker 网络策略 Docker 提供了网络隔离机制，可以通过创建自定义桥接网络来限制容器之间的通信。使用 `docker network create` 命令创建一个自定义桥接网络，并将 APISIX 容器连接到该网络中，这样可以减少不必要的外部暴露。 ```bash docker network create --driver bridge apisix_network ``` 然后启动 APISIX 容器时指定网络参数： ```bash docker run -d --name apisix --network apisix_network -p 9080:9080 apache/apisix ``` 通过这种方式，只有在同一网络中的容器才能互相通信，从而提高安全性。 ### 2. 使用防火墙规则限制端口访问 可以在宿主机上配置 iptables 或 firewalld 规则，限制对特定端口的访问。例如，在 Linux 系统上使用 iptables 阻止外部访问 APISIX 的管理端口（如 9080）： ```bash iptables -A INPUT -p tcp --dport 9080 -s <trusted_ip> -j ACCEPT iptables -A INPUT -p tcp --dport 9080 -j DROP ``` 上述命令允许来自 `<trusted_ip>` 的流量访问 9080 端口，而拒绝所有其他来源的流量。 如果使用的是 firewalld，则可以使用以下命令： ```bash firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="<trusted_ip>" port protocol="tcp" port="9080" accept' firewall-cmd --permanent --add-port=9080/tcp --permanent firewall-cmd --reload ``` ### 3. 配置 APISIX 的访问控制插件 APISIX 提供了多种内置的安全插件，可以用于增强 API 网关的安全性。例如，可以使用 `ip-restriction` 插件来限制客户端的 IP 地址访问： ```json { "plugins": { "ip-restriction": { "whitelist": ["192.168.1.0/24", "10.0.0.1"] } } } ``` 此配置仅允许来自 `192.168.1.0/24` 和 `10.0.0.1` 的请求访问服务。 此外，还可以使用 `key-auth` 插件实现基于 API 密钥的身份验证，进一步保护 API 接口[^1]。 ### 4. 启用 HTTPS 并配置 SSL/TLS 确保 APISIX 使用 HTTPS 协议进行加密通信，可以通过配置 SSL/TLS 证书来实现。首先需要获取或生成 SSL 证书文件（如 `cert.pem` 和 `key.pem`），然后在 APISIX 的配置文件中启用 HTTPS： ```yaml apisix: ssl: enable: true cert: /usr/local/apisix/conf/cert.pem key: /usr/local/apisix/conf/key.pem ``` 同时，还需要在 Docker 启动命令中挂载证书文件： ```bash docker run -d --name apisix \ -v /path/to/certs:/usr/local/apisix/conf \ -p 443:9443 \ apache/apisix ``` ### 5. 定期更新和维护 保持 APISIX 及其依赖组件的最新版本，定期检查漏洞并应用补丁。可以通过拉取最新的官方镜像并重新部署容器来完成更新： ```bash docker pull apache/apisix:latest docker stop apisix docker rm apisix docker run -d --name apisix --network apisix_network -p 9080:9080 apache/apisix ``` 通过以上措施，可以有效地对运行在 Docker 中的 APISIX 进行安全加固，并限制特定端口的访问，从而提升整体系统的安全性。 ---