主题：firewall
2 篇 · 合计 4,197 字
- UFW 管不到 Docker 发布的端口——原理与补法
容器发布端口走的是 FORWARD 而不是 INPUT，所以 ufw 的 deny incoming 对它完全无效。给出 DOCKER-USER 守卫的写法、验证因果的实验方法，以及三个已经踩过的坑。
- 因果对照：证明「是这条规则挡住的」
「加了规则之后就连不上了」只证明时间相关，不证明因果。用三组对照把它升级为因果：有规则时阻断、移除同一条规则后放行、计数器增量落在该规则上；并说明时间窗对比为何必须确认窗口内确有触发事件，以及两类常见的取证失误。