docker配置2376端口

最新推荐文章于 2024-07-31 10:21:11 发布
最新推荐文章于 2024-07-31 10:21:11 发布
阅读量2.9k 收藏 5
点赞数
文章标签： docker
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42029989/article/details/106314459
版权

环境：IntelliJ IDEA 2018.1.6 x64、CentOS 7

一、无CA认证

1、修改服务器配置，开放Docker的远程连接访问

[root@localhost ~]# vim /usr/lib/systemd/system/docker.service

    将ExecStart属性value值改为

    /usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix://var/run/docker.sock

    2、重启docker

    [root@localhost ~]# systemctl daemon-reload 
[root@localhost ~]# systemctl restart docker

      3、开放防火墙2375端口

      [root@localhost ~]# /sbin/iptables -I INPUT -p tcp --dport 2375 -j ACCEPT
[root@localhost ~]# iptables-save
# Generated by iptables-save v1.4.21 on Wed Oct 17 09:33:07 2018
*nat
:PREROUTING ACCEPT [31:5206]
:INPUT ACCEPT [31:5206]
:OUTPUT ACCEPT [4:304]
:POSTROUTING ACCEPT [4:304]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
COMMIT
# Completed on Wed Oct 17 09:33:07 2018
# Generated by iptables-save v1.4.21 on Wed Oct 17 09:33:07 2018
*filter
:INPUT ACCEPT [24:4973]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [3:340]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A INPUT -p tcp -m tcp --dport 2375 -j ACCEPT
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT
# Completed on Wed Oct 17 09:33:07 2018

        4、随便写个接口，等会进行测试

        在这里插入图片描述

        5、idea安装docker integration插件

        在这里插入图片描述

        在这里插入图片描述

        插件安装完成重启idea后可以看到底部多了个docker标志

        在这里插入图片描述

        5、接下来给项目打成jar包

        在这里插入图片描述

        6、然后编写DockerFile

        我这里找了个相对比较小的jdk，是在官方镜像库找到的

        也可以在国内的镜像库里找，如：FROM hub.c.163.com/library/java:8-jre

        FROM 99taxis/mini-java8

        ADD target/*.jar idea-docker-deploy.jar

        EXPOSE 8765

        ENTRYPOINT [“java”, “-jar”, “idea-docker-deploy.jar”]

          项目右键新建一个没有后缀的File

          在这里插入图片描述

          7、接下来配置idea一键部署

          在这里插入图片描述

          选中第一个

          在这里插入图片描述

          如图进行填写

          在这里插入图片描述

          8、运行容器

          在这里插入图片描述

          可以看到相应的日志

          在这里插入图片描述

          9、访问接口

          在这里插入图片描述

          成功

          也可以在服务器上打命令查看

          [root@localhost ~]# docker images
REPOSITORY                                             TAG                 IMAGE ID            CREATED             SIZE
idea-docker-deploy                                     latest              0b9861752b28        11 minutes ago      210MB
registry.cn-hangzhou.aliyuncs.com/zhaoyoung/mycentos   1.1                 de8fc9f45769        26 hours ago        455MB
mycentos                                               1.1                 de8fc9f45769        26 hours ago        455MB
zhaoyoungtomcat9                                       latest              124517434916        45 hours ago        751MB
myip_son                                               latest              6c9507aea358        3 days ago          398MB
myip_father                                            latest              2c22e721607a        3 days ago          299MB
myip2                                                  latest              dcbb4656e640        3 days ago          299MB
myip                                                   latest              9e3c14f76b1d        3 days ago          299MB
mycentos                                               1.0                 c2d4f6acb9af        4 days ago          455MB
zhaoyoung/nodocstomcat                                 1.0                 84498728984a        6 days ago          463MB
centos                                                 latest              75835a67d134        7 days ago          200MB
redis                                                  3.2                 a17eb18b1c62        2 weeks ago         76MB
tomcat                                                 latest              41a54fe1f79d        4 weeks ago         463MB
hello-world                                            latest              4ab4c602aa5e        5 weeks ago         1.84kB
mysql                                                  5.6                 1f47fade220d        6 weeks ago         256MB
99taxis/mini-java8                                     latest              45f8a8f0a77a        16 months ago       194MB

          [root@localhost ~]# docker ps
          CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
          3f9cc9e975bb 0b9861752b28 “java -jar idea-dock…” 11 minutes ago Up 11 minutes 0.0.0.0:8765->8765/tcp idea-docker-deploy

            二、Docker CA认证

            前面提到的配置是允许所有人都可以访问的，因为docker默认是root权限的，你把2375端口暴露在外面，意味着别人随时都可以提取到你服务器的root权限，是很容易被黑客黑的，因此,docker官方推荐使用加密的tcp连接，以Https的方式与客户端建立连接

            官方demo

            1、创建ca文件夹，存放CA私钥和公钥

            [root@localhost ~]# mkdir -p /usr/local/ca
[root@localhost ~]# cd /usr/local/ca/

              2、创建密码

              需要连续输入两次相同的密码

              [root@localhost ca]# openssl genrsa -aes256 -out ca-key.pem 4096
Generating RSA private key, 4096 bit long modulus
...................++
..........................................................................................................................................................................................................................................................................................................................................................++
e is 65537 (0x10001)
Enter pass phrase for ca-key.pem:
Verifying - Enter pass phrase for ca-key.pem:

                3、依次输入密码、国家、省、市、组织名称等

                [root@localhost ca]# openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
Enter pass phrase for ca-key.pem:
Enter pass phrase for ca-key.pem:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:zj
Locality Name (eg, city) [Default City]:hz
Organization Name (eg, company) [Default Company Ltd]:qdsg
Organizational Unit Name (eg, section) []:qdsg
Common Name (eg, your name or your server's hostname) []:qdsg
Email Address []:1@qq.com
[root@localhost ca]# openssl genrsa -out server-key.pem 4096
Generating RSA private key, 4096 bit long modulus
...........................++
................++
e is 65537 (0x10001)

                  4、生成server-key.pem

                  [root@localhost ca]# openssl genrsa -out server-key.pem 4096
Generating RSA private key, 4096 bit long modulus
.................................................................................................................................................++
.................................................++
e is 65537 (0x10001)

                    5、把下面的$Host换成你自己服务器外网的IP或者域名

                    openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr
                    比如
                    openssl req -subj "/CN=192.168.1.106" -sha256 -new -key server-key.pem -out server.csr
                    或
                    openssl req -subj "/CN=www.baidu.com" -sha256 -new -key server-key.pem -out server.csr

                    我这里使用局域网进行测试

                    [root@localhost ca]# openssl req -subj "/CN=192.168.1.106" -sha256 -new -key server-key.pem -out server.csr

                      6、配置白名单

                      也就是你接下来要允许那些ip可以连接到服务器的docker，因为已经是ssl连接，所以我推荐配置0.0.0.0,也就是所有ip都可以连接(但只有拥有证书的才可以连接成功)，这样配置好之后公司其他人也可以使用。如果你不想这样，那你可以配置ip，用逗号分隔开。下面的$Host依旧是你服务器外网的IP或者域名，请自行替换。

                      注意！！！！这里我踩了坑
                      如果你填写的是ip地址的话命令如下echo subjectAltName = IP:$HOST,IP:0.0.0.0 >> extfile.cnf
                      如果你填写的是域名的话命令如下 echo subjectAltName = DNS:$HOST,IP:0.0.0.0 >> extfile.cnf

                      我这里使用局域网进行测试

                      [root@localhost ca]# echo subjectAltName = IP:192.168.1.106,IP:0.0.0.0 >> extfile.cnf

                        7、执行命令，将Docker守护程序密钥的扩展使用属性设置为仅用于服务器身份验证

                        [root@localhost ca]# echo extendedKeyUsage = serverAuth >> extfile.cnf

                          8、执行命令，并输入之前设置的密码，生成签名证书

                          [root@localhost ca]# openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \-CAcreateserial -out server-cert.pem -extfile extfile.cnf
Signature ok
subject=/CN=192.168.1.106
Getting CA Private Key
Enter pass phrase for ca-key.pem:

                            9、生成客户端的key.pem，到时候把生成好的几个公钥私钥拷出去即可

                            [root@localhost ca]# openssl genrsa -out key.pem 4096
Generating RSA private key, 4096 bit long modulus
...........................................................................................................................................................................................................................................................................................................................................................................++
......................................................................................................................................++
e is 65537 (0x10001)

                              10、执行命令

                              [root@localhost ca]# openssl req -subj '/CN=client' -new -key key.pem -out client.csr

                                11、执行命令，要使密钥适合客户端身份验证，请创建扩展配置文件

                                [root@localhost ca]# echo extendedKeyUsage = clientAuth >> extfile.cnf

                                  12、生成cert.pem,需要输入前面设置的密码，生成签名证书

                                  [root@localhost ca]# openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \-CAcreateserial -out cert.pem -extfile extfile.cnf
Signature ok
subject=/CN=client
Getting CA Private Key
Enter pass phrase for ca-key.pem:

                                    13、删除不需要的文件，两个证书签名请求

                                    [root@localhost ca]# rm -v client.csr server.csr
rm：是否删除普通文件 "client.csr"？y
已删除"client.csr"

                                      证书可以是对外可读的，删除写入权限以防止意外损坏

                                      [root@localhost ca]# chmod -v 0444 ca.pem server-cert.pem cert.pem
mode of "ca.pem" changed from 0644 (rw-r--r--) to 0444 (r--r--r--)
mode of "server-cert.pem" changed from 0644 (rw-r--r--) to 0444 (r--r--r--)
mode of "cert.pem" changed from 0644 (rw-r--r--) to 0444 (r--r--r--)

                                        15、归集服务器证书

                                        [root@localhost ca]# cp server-*.pem  /etc/docker/
[root@localhost ca]# cp ca.pem /etc/docker/

                                          16、修改Docker配置，使Docker守护程序仅接受来自提供CA信任的证书的客户端的连接

                                          [root@localhost ca]# vim /lib/systemd/system/docker.service

                                            将
                                            ExecStart=/usr/bin/dockerd
                                            替换为：

                                            ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/etc/docker/ca.pem --tlscert=/etc/docker/server-cert.pem --tlskey=/etc/docker/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock

                                              17、重新加载daemon并重启docker

                                              [root@localhost ~]# systemctl daemon-reload 
[root@localhost ~]# systemctl restart docker

                                                18、开放2376端口

                                                [root@localhost ca]# /sbin/iptables -I INPUT -p tcp --dport 2376 -j ACCEPT

 
 
                                                
 
 
                                                  [root@localhost ca]# iptables-save
# Generated by iptables-save v1.4.21 on Wed Oct 17 14:47:38 2018
*nat
:PREROUTING ACCEPT [225:14836]
:INPUT ACCEPT [225:14836]
:OUTPUT ACCEPT [1:76]
:POSTROUTING ACCEPT [1:76]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
COMMIT
# Completed on Wed Oct 17 14:47:38 2018
# Generated by iptables-save v1.4.21 on Wed Oct 17 14:47:38 2018
*filter
:INPUT ACCEPT [8:2858]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [39:30400]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A INPUT -p tcp -m tcp --dport 2376 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 2375 -j ACCEPT
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT
# Completed on Wed Oct 17 14:47:38 2018

                                                    19、重启docker

                                                    [root@localhost ca]# service docker restart

                                                      20、保存相关客户端的pem文件到本地

                                                      在这里插入图片描述

                                                      21、idea的配置

                                                      在这里插入图片描述

                                                      22、若出现以下错误，请查看前面的步骤是否遗漏或出错

                                                      在这里插入图片描述

                                                      版权声明：本文为博主转载文章，转载请附上原文出处链接
                                                      原文链接： https://blog.csdn.net/ChineseYoung/article/details/83107353
                                                      李嘉图呀李嘉图
                                                      关注
                                                      • 0
                                                        点赞
                                                      • 踩
                                                      • 5
                                                        收藏
                                                        觉得还不错? 一键收藏
                                                      • 2
                                                        评论
                                                      Docker 开放 2375 端口，实现远程访问
                                                      甘蓝的专栏
                                                      07-30 345
                                                      Docker 开放2375端口，实现远程访问
                                                      《伸手系列》之Docker开启2376端口CA认证
                                                      御前提笔小书童
                                                      01-20 1102
                                                      前言 众所周知，docker可以开启远程访问API，但是发现很多都是直接开启2375端口，未做安全配置，从而出现安全隐患，最近在将docker环境统一portainer管理时，发现有这种情况。本文讲解如何开启安全认证的方法，配置TLS保证API的安全。 简单粗暴的开启远程访问 1、开启方式 编辑docker文件：/usr/lib/systemd/system/docker.service vim ...
                                                      深入理解 Docker（五）
                                                      最新发布
                                                      龙哥盟
                                                      07-31 389
                                                      守护进程模式客户端模式守护进程模式将拒绝来自未使用有效证书签署命令的客户端的连接。客户端模式将不会连接到没有有效证书的远程守护进程。通过 Docker 守护进程配置文件来配置 TLS。该文件名为，它是平台无关的。以下的hosts告诉 Docker 在哪个套接字上绑定守护进程。该示例将其绑定到端口2376上的网络套接字。您可以使用任何空闲端口，但惯例是在安全的 Docker 连接中使用2376。运行systemd的 Linux 系统无法使用此标志，需要使用systemd`覆盖文件。tls和。
                                                      docker开启2376端口CA认证
                                                      qq_20161461的博客
                                                      09-27 574
                                                      Docker CA认证 1、创建ca文件夹，存放CA私钥和公钥 mkdir -p /usr/local/ca cd /usr/local/ca/ 2、创建密码 需要连续输入两次相同的密码 openssl genrsa -aes256 -out ca-key.pem 4096 3、依次输入密码、国家、省、市、组织名称等 openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem 4、生成server-key.pem opens
                                                      docker开启TLS远程访问 2376
                                                      lms99251的博客
                                                      07-18 1912
                                                      docker开启TLS远程访问的方法
                                                      docker开启2376端口CA认证及IDEA中一键部署docker项目
                                                      qq_36984017的博客
                                                      07-09 374
                                                      docker开启2376端口CA认证及IDEA中一键部署docker项目 Docker CA认证 1、创建ca文件夹，存放CA私钥和公钥 mkdir -p /usr/local/ca cd /usr/local/ca/ 2、创建密码-需要连续输入两次相同的密码 openssl genrsa -aes256 -out ca-key.pem 4096 3、依次输入密码、国家、省、市、组织名称等 openssl req -new -x509 -days 365 -key ca-key.pem -sha256
                                                      在CentOS 7 上为docker配置端口转发以兼容firewall的解决方法
                                                      01-09
                                                      当您尝试通过`docker run`命令将主机端口映射到容器端口，例如`docker run --name web_a -p 192.168.1.250:803:80 -d web_a:beta1.0.0`，Docker会尝试在iptables中设置规则，但这在firewalld环境中不会自动生效。...
                                                      Docker端口映射的实现
                                                      01-20
                                                      docker容器在启动的时候，如果不指定端口映射参数，在容器外部是无法通过网络来访问容器内的网络应用和服务的。 亦可使用Dockerfile文件中的EXPOSE指令来配置。 端口映射可使用-p、-P来实现： -p指定要映射的端口...
                                                      Docker容器内部端口映射到外部宿主机端口的方法小结
                                                      08-16
                                                      ### Docker容器内部端口映射到外部宿主机端口的方法详解 #### 一、概述 在使用Docker部署服务时，经常会遇到需要将容器内的应用服务暴露到宿主机上以便外部可以直接访问的情况。这就涉及到了Docker的端口映射功能...
                                                      centos7 docker开启认证的远程端口2376配置
                                                      J_Lee
                                                      11-24 1159
                                                      centos7 docker开启认证的远程端口2376配置
                                                      docker配置TLS 2376
                                                      白_的博客
                                                      02-18 1120
                                                      1 复制执行shell脚本，只需改动SERVER即可 #创建 Docker TLS 证书 #!/bin/bash #相关配置信息 # docker主机IP SERVER="ip" # 密码 PASSWORD="2cx&BUjsV4u%3Tz9" # 国家 COUNTRY="CN" # 省份 STATE="广东省" # 城市 CITY="深圳市" # 机构名称 ORGANIZATION="白的公司" # 机构单位 ORGANIZATIONAL_UNIT="白的单位" # 邮箱 EMAIL="lius
                                                      centos7为docker配置远程TLS验证,端口设定为2376
                                                      bc_aptx4869的博客
                                                      07-11 5110
                                                      dockerTLS,docker远程访问.
                                                      centos7 docker开启认证的远程端口2376配置教程
                                                      热门推荐
                                                      新林的博客
                                                      05-17 1万+
                                                      - docker开启2375会存在安全漏洞 暴露了2375端口的Docker主机。因为没有任何加密和认证过程，知道了主机IP以后，，任何人都可以管理这台主机上的容器和镜像，以前贪图方便，只开启了没有认证的docker2375端口，后来被黑客通过这个端口上了一个挖矿木马病毒的镜像并运行，所以非测试开发环境的话，还是要开启需要安全认证的tcp端口 - docker开启非认证的端口看这篇文章 https://blog.csdn.net/u012946310/article/details/8231
                                                      docker 2376端口 CA 认证，并不能阻止服务器成为肉鸡
                                                      a01021111230的博客
                                                      09-10 613
                                                      看网上很多评论；自签CA证书，生成服务器CA签名证书，和客户端CA签名证书；docker服务端配置客户端，允许docker远程控制的客户端，配置客户端CA；只有该客户端CA签名证书才能远程控制docker；其实不对的。 docker的服务端CA，和客户端CA，只是完成了双方的信息双向加密。docker并没有进行双方身份的认证，所以2376端口是不安全的。 可以使用两套CA证书机构，分别签服务端CA证书，和客户端证书，验证，本人已验证，直接说结论: 客户端随便一个CA证书签名的客户端CA证书都可
                                                      docker 服务器engin开放2376端口给pycharm连接
                                                      weixin_33898233的博客
                                                      11-27 239
                                                      2019独角兽企业重金招聘Python工程师标准>>> ...
                                                      docker配置tls (一) 2376安全配置
                                                      lanwp5302的博客
                                                      04-17 5173
                                                      一、官方资料 官网资料 https://docs.docker.com/engine/reference/commandline/dockerd/ 创建证书步骤 官网Protect the Docker daemon socket https://docs.docker.com/engine/security/https/ 二、创建证书 生成的证书 ca-key.pem ca.pem ...
                                                      Docker开放远程安全访问（开启2376端口和CA认证）
                                                      guochengabcd的博客
                                                      08-11 1123
                                                      Docker开放远程安全访问（开启2376端口和CA认证）
                                                      docker-java使用docker 2375或者2376端口
                                                      yinghuo233的博客
                                                      08-06 829
                                                      一、docker使用TLS开启2376 1.1使用Openssl生成CA、服务器和客户端密钥 #cd 到证书生成目录 cd /etc/.docker/certs $HOST为服务器ip $ openssl genrsa -aes256 -out ca-key.pem 4096 Generating RSA private key, 4096 bit long modulus ..........................................................
                                                      Docker Swarm集群 关闭2376端口的验证
                                                      05-31
                                                      Docker Swarm 集群默认使用 2377 和 2376 端口进行通信和管理。其中 2376 端口用于 Docker daemon 提供的远程 API，可以通过该 API 进行 Docker 容器的创建、管理等操作。如果你希望关闭 Docker Swarm 集群对 2376 ...
                                                      评论 2
                                                      添加红包

                                                      请填写红包祝福语或标题

                                                      个

                                                      红包个数最小为10个

                                                      元

                                                      红包金额最低5元

                                                      当前余额3.43元 前往充值 >
                                                      需支付：10.00元
                                                      成就一亿技术人!
                                                      领取后你会自动成为博主和红包主的粉丝 规则
                                                      hope_wisdom
                                                      发出的红包
                                                      实付元
                                                      使用余额支付
                                                      点击重新获取
                                                      扫码支付
                                                      钱包余额 0

                                                      抵扣说明：

                                                      1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
                                                      2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

                                                      余额充值