问题描述
在部署了一个监听端口为 8080 的 Web 服务器的 Docker 容器后，希望能够从主机上动态调整 iptables 规则，以限制对容器的访问。用户已尝试通过向 INPUT 和 DOCKER-USER 链添加规则来阻止特定源 IP 地址的访问，但并未成功。
解决方案
在进行以下操作前，请确保你对网络和iptables规则有一定的了解。对于一些涉及网络设置的操作，可能会对你的系统产生影响。
问题分析
首先，让我们看一下你尝试的规则和情况。你已经尝试通过添加以下规则来阻止特定源 IP 地址对容器的访问：
iptables -A INPUT -p tcp --destination-port 8080 -s 1.2.3.4 -j DROP
iptables -A DOCKER-USER -p tcp --destination-port 8080 -s 1.2.3.4 -j DROP
但是，这些规则并没有生效，你仍然可以从特定源 IP 地址进行访问。这可能是因为 Docker 容器中的网络规则与主机上的规则不同，因此我们需要采取一些额外的步骤来限制容器的访问。
限制 Docker 容器访问的解决方案
要动态地限制 Docker 容器的访问，需要在 Docker 容器启动时动态地为其设置网络规则。这可以通过创建自定义的网络命名空间，并在其中设置规则来实现。下面是具体的步骤：
-
创建一个新的网络命名空间，用于容器的网络环境：
bash
ip netns add mycontainer -
启动容器并将其添加到新创建的网络命名空间中。在这里，我们使用
--net参数将容器连接到指定的网络命名空间：
bash
docker run --rm --net=netns:mycontainer -p 8080:8080 python:3.6 sh -c "cd tmp && python -m http.server 8080" -
在新创建的网络命名空间中配置规则。首先，进入到网络命名空间中：
bash
ip netns exec mycontainer bash -
在容器的网络命名空间中，设置针对特定源 IP 地址的规则，阻止对端口
8080的访问：
bash
iptables -A INPUT -p tcp --destination-port 8080 -s 1.2.3.4 -j DROP -
离开容器的网络命名空间并返回主机的命名空间：
bash
exit
通过以上步骤，你在容器的网络命名空间中设置了规则，限制了特定源 IP 地址对容器的访问。
请注意，这个解决方案允许你在容器启动时动态地为其设置规则。然而，这样的方法可能会增加一些复杂性，并需要更多的管理。
请确保你对 iptables 规则和网络命名空间有一定的了解，并在进行操作前做好备份。
总结
通过创建自定义的网络命名空间，并在其中设置规则，你可以实现动态地限制 Docker 容器的访问。这种方法允许你在容器启动时根据需要设置网络规则，以满足特定的访问限制要求。但是，请注意操作复杂性以及对系统的潜在影响。在进行操作前，请确保你充分了解相关概念，并做好适当的备份工作。
以上就是动态限制 Docker 容器访问的解决方案，希望能够帮助你实现所需的访问限制。如有更多问题或需要进一步帮助，请随时提问。