swarm-manager 所在 node 上的任意容器都可以访问 2376 端口

[wchaoyi]

关于 2376 的 default calico rule 没有生效。

[liuxu623]

iptables的nat表会先于filter表生效，匹配到nat表中的DOCKER chain后就不会匹配filter表中calico的chain了

Chain DOCKER (2 references)
 pkts bytes target     prot opt in     out     source               destination
    8   480 RETURN     all  --  docker0 *       0.0.0.0/0            0.0.0.0/0
    4   240 DNAT       tcp  --  !docker0 *       0.0.0.0/0            0.0.0.0/0            tcp dpt:2376 to:172.17.0.2:2375