外网无法访问docker容器

外网无法访问docker容器是一种常见的安全设置，可以保护容器中的应用免受未经授权的访问。在Kubernetes(K8S)中，我们可以通过一系列步骤来实现这一目标。

首先，让我们总结一下整个流程，并展示每一步需要做什么：

| 步骤 | 操作 |
| ------ | ------ |
| 步骤1 | 创建一个带有ClusterIP类型的Service |
| 步骤2 | 为Pod或Deployment分配Service |
| 步骤3 | 确保Service的端口与容器的端口匹配 |
| 步骤4 | 验证外部访问已关闭 |

下面我将详细解释每一步应该做什么，并提供相应的代码示例。

### 步骤1：创建一个带有ClusterIP类型的Service

首先，我们需要创建一个Service，类型为ClusterIP，这样该Service只能在集群内部访问。以下是创建Service的命令：

```yaml
apiVersion: v1
kind: Service
metadata:
name: my-service
spec:
selector:
app: my-app
ports:
- protocol: TCP
port: 80 # Service端口
targetPort: 80 # 容器端口
type: ClusterIP
```

在这个示例中，我们创建了一个名为`my-service`的Service，它将与标签为`app: my-app`的Pod或Deployment相关联，端口80将映射到容器的端口80。

### 步骤2：为Pod或Deployment分配Service

接下来，我们需要确保Pod或Deployment与上一步创建的Service关联。在Pod或Deployment的定义文件中，添加Service相关的标签。例如：

```yaml
apiVersion: apps/v1
kind: Deployment
metadata:
name: my-deployment
spec:
selector:
matchLabels:
app: my-app
template:
metadata:
labels:
app: my-app
spec:
containers:
- name: my-container
image: nginx
ports:
- containerPort: 80 # 容器端口
```

在这个示例中，我们在Deployment的Pod模板中添加了`app: my-app`的标签，以便与前面创建的Service进行关联。

### 步骤3：确保Service的端口与容器的端口匹配

确保在创建Service时，它的端口与容器的端口匹配。这一点非常重要，否则服务将无法正确路由到容器。在上面的示例中，Service的端口和容器的端口都是80。

### 步骤4：验证外部访问已关闭

最后，验证外网无法访问容器。这样做的方法包括在外部网络中ping或尝试访问容器的IP和端口。如果一切设置正确，应该无法从外部网络直接访问到容器。

通过上述步骤和代码示例，你可以成功实现外网无法访问docker容器的设置。这种安全措施可以保护你的应用免受未经授权的访问，确保数据的安全性和隐私性。希望这篇文章能帮助到你理解并实现这一功能！