Docker开启TLS远程连接

Fri, May 14, 2021 阅读时间 2 分钟

一、Docker远程连接

Docker是C/S架构，通过docker的客户端连接到docker daemon，然后由docker daemon在宿主机上执行构建镜像，运行容器等指令。

Docker支持多种方式将docker客户端连接到server。如果docker客户端和server都在同一台宿主机上，那么可以直接使用Unix域套接字文件/var/run/docker.sock连接，我们直接使用docker命令时实际上就是采用这种方式进行连接的。

Docker也支持远程通过socket进行连接，可以选择开启或者不开启TLS，为了安全我们大多数时候还是采用开启TLS的方式进行远程连接。

首先需要保证宿主机上docker daemon已安装，安装过程可查看官网

首先需要制作证书，包括服务端证书，和客户端证书。

在docker daemon的宿主机上按步骤执行下列命令：

创建根证书RSA私钥命令输入后会提示输入密码，输入两次后会生成ca-key.pem文件。
```
$ openssl genrsa -aes256 -out ca-key.pem 4096
```
用这个RSA密钥创建CA证书

自己给自己签发证书，也可以交给第三方机构签发。这里我们自己签发。-days参数指定多少天后过期，这里设置1000天。这一步会生成ca.pem文件，就是CA证书。
```
$ openssl req -new -x509 -days 1000 -key ca-key.pem -sha256 -subj "/CN=*" -out ca.pem
```

创建服务端私钥

这一步生成的server-key.pem就是服务端私钥。

$ openssl req -subj "/CN=*" -sha256 -new -key server-key.pem -out server.csr

生成exfile.cnf配置文件

$ echo extendedKeyUsage=clientAuth > extfile.cnf

生成签名过的客户端证书

期间要输入密码，生成的cert.pem就是签名过的客户端证书

$ openssl x509 -req -days 1000 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf

证书生成完成后，需要对docker daemon进行设置让它允许远程TLS访问。

首先打开打开/lib/systemd/system/docker.service文件，找到这行内容：
```
ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
```
把这行替换为以下格式：
```
ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/ca.pem --tlscert=/server-cert.pem --tlskey=/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock
```
注意几个参数指定的文件的位置：
- –tlscacert：CA根证书
- –tlscert：服务端证书
- –tlskey：服务端私钥
-H参数指定了访问方式，这里设置了开启远程连接，端口为2376，并且依然支持Unix域套接字连接(即本地直接连接)
然后如果我们的机器没有放通2376端口，需要放通一下：
```
$ sudo iptables -I INPUT -p tcp --dport 2376-j ACCEPT
```
最后重启docker daemon让配置生效
```
$ systemctl daemon-reload && systemctl restart docker
```
没报错就说明配置成功了

完成上述的配置后，服务端的docker daemon就支持TLS远程连接了。客户端只需要在连接时指定一些参数就可以连接到远程的docker daemon上。