Internal downstream skill for …

# Web题容器路由配置方案（attack-defense 多队端口映射）

前置说明

“ctf-sandbox-orchestrator”并非我能核实的公开标准工具，若它是你们的自研/内部平台，以下提供通用的 Docker 路由方案，思路可直接迁移到该平台。

架构思路

• 隔离优先：attack-defense 场景要求各队实例互相隔离，需为每队创建独立实例 + 独立网络，而非共享一个容器。
• 端口规划：参赛队编号 n（0-9）映射到宿主机端口 5000+n。

实施步骤

1. 创建每队独立网络

```bash

for i in $(seq 0 9); do

docker network create team_${i}_net

done

```

2. 启动各队沙箱实例（每队一个容器）

```bash

docker run -d \

--name web_team_${i} \

--network team_${i}_net \

-p 500${i}:80 \

--memory=1g --cpus=1 \

web_challenge_image

```

• 宿主机 5000-5009 分别绑定各队容器的 Web 端口（假设题目服务在容器 80 端口）。

3. 加强队间隔离（可选但推荐）

• 使用 iptables 规则禁止不同 team_*_net 网桥间互访：

```bash

iptables -I FORWARD -s 172.20.0.0/16 -d 172.21.0.0/16 -j DROP

```

（各网段需按实际 docker network 分配的子网填写）

• 或直接使用 Docker 的 icc=false 关闭网络内互通，只保留容器与宿主机通信。

4. 服务器侧入口

• 若有 Nginx/Traefik 反代，配置 listen 5000-5009 各自 proxy_pass 到对应容器 IP。
• 防火墙放行宿主机 5000-5009 端口。

验证清单

• [ ] 每队仅能访问自己 5000+队号 端口
• [ ] 跨队网络 ping/扫描不通
• [ ] 容器资源限制生效，防止一队打挂全平台
• [ ] flag 注入脚本按队号写入各自容器环境变量

如需我补充 iptables 完整规则脚本或 docker-compose 多实例编排版本，请告知。