如何禁用ICC，包括在Docker中发布的端口

Docker的“icc”属性禁止一个容器能够访问另一个容器上的端口，但是如果一个容器的端口由主机发布，那么其他容器就可以访问它 – 这是我不想要的。

使用CentOS7和IPTables我不能构build正确的规则来禁止容器访问主机上的已发布端口，同时仍然允许外部世界访问它。

另外，我尝试了禁用所有ip-forwarding的严格方法，以便容器不能与外界任何事情交谈（不是一个理想的解决scheme – 但是一个可接受的第一步），并发现这在OSX而不是CentOS上工作。 在CentOS容器似乎可以访问其他容器的发布的端口，即使所有的转发closures。