Docker Sandboxes
说明拒绝访问指定主机
用法sbx policy deny network [--sandbox SANDBOX] RESOURCES [flags]

描述 ​

阻止沙箱访问指定主机的网络。

RESOURCES 的形式与 "sbx policy allow network" 相同：精确域名、 通配符子域名、IP 地址和 CIDR 前缀，可带端口后缀。规则默认 适用于 TCP 和 UDP；使用 --protocol 可把规则限制到一种传输方式。

针对相同主机名或 CIDR，拒绝规则优先于允许规则。直接连接到已允许的主机名时， 也会针对其解析后的 IP 地址检查 CIDR 规则，任一处被拒绝即以拒绝为准。通过解析 主机名的上游代理发起的连接只按主机名检查。

该规则默认对所有沙箱全局生效。使用 --sandbox 可改为把 规则添加到限定到单个沙箱的 "local" 策略中。

不使用 --cloud 时，如果同一范围内已经存在针对同一资源、采用相同协议中任一种的 相反决策（对 HTTP 规则而言，指相同的方法、路径和查询约束），该规则会被拒绝， 且不会添加任何内容。请先用 "sbx policy rm network --id RULE_ID" 移除已有规则； 如果该规则限定在沙箱范围内，请加上 --sandbox SANDBOX。不同范围内的规则可以共存， 例如全局允许规则与沙箱范围的拒绝规则，此时拒绝规则优先。你所在组织的策略中的 规则不会触发这种拒绝。使用 --cloud 时，新规则会直接替换同一范围内的相反规则。

使用 --method 可添加 HTTP 规则。--method 接受逗号分隔的 HTTP 方法或 ANY；--path 默认为 /**。重复使用 --query name=value 可要求 查询参数。

HTTP 路径、查询参数名和查询值的匹配不区分 ASCII 字母大小写。 例如 /API/** 匹配 /api/items，Tag=PROD 匹配 tag=prod。

使用 --cloud： 阻止云端沙箱访问指定主机的网络。

同一范围内匹配的允许条目会被该拒绝条目替换。

RESOURCES 是网络模式的逗号分隔列表，例如 api.example.com、 *.example.com、10.0.0.0/8 或 api.example.com:443。不支持 HTTP 方法、路径、查询和 传输协议选择器。

规则默认适用于账号。使用 --sandbox 并加上沙箱名称或 ID 可更改单个沙箱的策略。用 "sbx --cloud policy ls" 可列出规则。

选项 ​

选项默认值说明
--method把规则限定到指定的 HTTP 方法（逗号分隔）；用 ANY 匹配所有方法
--path把规则限定到指定的 HTTP 路径通配符（例如 /repos/）；默认为 /
--protocol网络协议：tcp 或 udp；可重复传入或用逗号分隔来同时指定两者（默认 tcp,udp）
--query要求带某个 HTTP 查询参数（name=value 形式）；可重复传入
--sandbox把规则限定到特定的沙箱（默认：所有沙箱）

全局选项 ​

选项默认值说明
--cloud改为调用 Docker Cloud Sandboxes API，而不是本地 sandboxd（支持的动词正在逐步增加，运行 sbx --cloud --help 查看当前列表）
-D, --debug启用调试日志
--no-input从不提示；需要应答的命令会直接失败，并给出应当运行的命令

示例 ​

console
# 阻止访问某个主机（所有沙箱）
sbx policy deny network ads.example.com

# 只为特定沙箱阻止某个主机
sbx policy deny network --sandbox my-sandbox ads.example.com

# 阻止所有出站流量，TCP 和 UDP
sbx policy deny network "**"

# 只阻止到某个主机的 UDP
sbx policy deny network --protocol udp media.example.com

# 阻止对某个路径的 POST 请求
sbx policy deny network api.example.com --method POST --path '/admin/**'

# 在账号策略中阻止某个主机
sbx --cloud policy deny network ads.example.com

# 为某个沙箱阻止一个主机
sbx --cloud policy deny network --sandbox my-sandbox ads.example.com

参见 ​