Docker远程连接之：Linux生成Docker证书链接

（一）、 前提条件

1.  创建一个新目录用于存放生成的所有证书和密钥文件。
2.  确保您的系统已安装 OpenSSL。

（二）、证书生成步骤

1.  生成 CA 密钥

在新建的目录中执行以下命令，生成加密的 CA 密钥（输入密码时请牢记，后续步骤中会用到）：

openssl genrsa -aes256 -out ca-key.pem 4096

 2. 创建 CA 证书

使用刚才生成的 CA 密钥创建 CA 证书。系统会提示您输入密码，随后需要填写证书的相关信息（国家、省份、城市等，可以按实际情况填写）：

openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

3. 生成服务器密钥

生成服务器端的密钥文件：

openssl genrsa -out server-key.pem 4096

4. 创建服务器证书签名请求
使用服务器的外部 IP 地址或域名创建证书签名请求（CSR）：

openssl req -subj "/CN=您的服务器外网IP" -sha256 -new -key server-key.pem -out server.csr

5. 准备证书签名配置文件
创建配置文件 extfile.cnf 并设置 IP 白名单和扩展密钥用途：

echo subjectAltName = IP:您的服务器外网IP,IP:0.0.0.0 > extfile.cnf
echo extendedKeyUsage = serverAuth >> extfile.cnf

6. 签发服务器证书
使用 CA 证书和密钥为服务器证书签名：

openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -extfile extfile.cnf

7. 生成客户端密钥
生成客户端密钥文件：

openssl genrsa -out key.pem 4096

8. 创建客户端证书签名请求
生成客户端的证书签名请求（CSR）：

openssl req -subj '/CN=client' -new -key key.pem -out client.csr

9. 签发客户端证书
使用 CA 证书和密钥为客户端证书签名：

echo extendedKeyUsage = clientAuth >> extfile.cnf

openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf

10. 清理临时文件
删除不再需要的 CSR 文件：

rm -rf client.csr server.csr

11. 设置文件权限
将密钥文件设置为只读，以保证安全：

chmod -v 0400 ca-key.pem key.pem server-key.pem
chmod -v 0444 ca.pem server-cert.pem cert.pem

12. 配置 Docker 使用证书
将服务端证书复制到 Docker 的配置目录下，以便 Docker 使用：

cp server-cert.pem ca.pem server-key.pem /etc/docker/

13. 修改docker配置

• 离线手动安装的docker，文件路径如下：

vim /etc/systemd/system/docker.service

在如下配置下换行加上红色部分配置

ExecStart=/usr/bin/dockerd \

--tlsverify \

--tlscacert=/etc/docker/ca.pem \

--tlscert=/etc/docker/server-cert.pem \

--tlskey=/etc/docker/server-key.pem \

-H tcp://0.0.0.0:2375 \

-H unix:///var/run/docker.sock \

• 使用yum安装的，文件路径如下：

vim /lib/systemd/system/docker.service

在如下配置下换行加上红色部分配置

ExecStart=/usr/bin/dockerd-current \

--tlsverify \

--tlscacert=/etc/docker/ca.pem \

--tlscert=/etc/docker/server-cert.pem \

--tlskey=/etc/docker/server-key.pem \

-H tcp://0.0.0.0:2375 \

-H unix:///var/run/docker.sock \

14. 如有防火墙需设置开放2375端口，如防火墙未打开则忽略。

firewall-cmd --zone=public --add-port=2375/tcp --permanent

firewall-cmd --reload

15、重载服务并重启docker

systemctl daemon-reload && systemctl restart docker

16、将证书客户端文件下载到本地，可通过ftp或rz命令进行拉取

sz ca.pem cert.pem key.pem

19、验证证书是否成功，如果有错误，请检查证书

docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H=ip地址:2375 version