7月 202018
往常，我使用docker的network=none ，然后使用pipework给容器添加一个外部可访问的IP，然后，容器就能访问外网了；
后来，我在openstack上创建的centos7虚拟机上安装docker，同样的方式启动的容器却无法访问外网，首先，centos7虚拟机的网卡去掉任何安全组，并设置为非管理状态； 检查centos7的ip_forward 是打开的，最终，发现差别就在于，原来的iptables规则中 FORWARD 的策略是ACCEPT ，而现在是FORWARD 策略是 DROP的；
问题： iptables的 FORWARD 的DROP策略是在哪个环节设置的呢？
参考docker 源码发现如下逻辑：
基本逻辑为：
如果本来是开启着ip转发的，就不会去设置iptables 的forward链的默认策略了；
如果本来没有开启ip转发的，就会去设置iptables 的forward链的默认策略。
显然，曾经的机器在docker启动前就已经设置了ip转发了， 而后来的机器在docker启动前还设置ip转发，虽然最终是都设置了IP转发，但是结果却不同；如果直接让docker来管理容器的网络，则docker会按照要求自动添加forward规则，然而，现在我们用的是pipework，就需要自己添加forward规则了，势必会麻烦一些；流氓一些的做法就是直接修改FORWORD 的默认策略。