docker开放2375端口设置TLS和CA认证

最近使用idea的docker插件,这个插件我们可以使用tcp的方式连接,但是这种连接方式非常不安全,开放的2375端口非常容易给人入侵,然后整个docker被人控制,这是非常危险的,所以为了解决这个安全问题，做了TLS和CA认证。

1.新建CA文件目录

mkdir /www/docker/ca

2.切换到创建的ca文件夹下

cd /www/docker/ca

3.创建CA证书私钥，输入确认两次密码

openssl genrsa -aes256 -out ca-key.pem 4096

4.输入之前设置的密码，然后依次输入国家是 CN，省份、城市、公司、单位、服务器公网IP地址、邮件地址。

openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

5.创建服务端私钥，生成文件为server-key.pem

openssl genrsa -out server-key.pem 4096

 6.创建服务端证书签名请求文件，用于CA证书给服务端证书签名。IP需要换成自己服务器的IP地址，或者域名都可以。生成文件server.csr

openssl req -subj "/CN=服务器公网IP地址" -sha256 -new -key server-key.pem -out server.csr

7.配置白名单，用多个用逗号隔开(0.0.0.0表示所有ip)

echo subjectAltName = IP:你的服务器公网ip,IP:0.0.0.0 >> extfile.cnf

8.将Docker守护程序密钥的扩展使用属性设置为仅用于服务器身份验证

echo extendedKeyUsage = serverAuth >> extfile.cnf

9.创建CA证书签名好的服务端证书，期间需要输入CA证书私钥密码，生成文件为server-cert.pem

openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out server-cert.pem -extfile extfile.cnf

10.创建客户端私钥

openssl genrsa -out key.pem 4096 Generating RSA private key, 4096 bit long modulus

11.创建客户端证书签名请求文件，用于CA证书给客户证书签名，生成文件client.csr

openssl req -subj '/CN=client' -new -key key.pem -out client.csr

12.要使密钥适合客户端身份验证，创建扩展配置文件

echo extendedKeyUsage = clientAuth > extfile-client.cnf

13.创建CA证书签名好的客户端证书，期间需要输入CA证书私钥密码，生成文件为cert.pem

openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out cert.pem -extfile extfile-client.cnf

14.复制文件

cp server-*.pem  /etc/docker/ && cp ca.pem /etc/docker/

15.修改docker.service文件配置

vi /usr/lib/systemd/system/docker.service

16.修改以ExecStart开头的配置，开启TLS认证，并配置好CA证书、服务端证书和服务端私钥

ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/etc/docker/ca.pem --tlscert=/etc/docker/server-cert.pem --tlskey=/etc/docker/server-key.pem -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock

17.重载deamon

systemctl daemon-reload

18.重启docker

service docker restart

19.把文件拷贝到电脑

20.idea连接