关于后端:Linux开启Docker远程访问并设置安全访问证书密钥附一份小白一键设置脚本哦

5次阅读

共计 6000 个字符，预计需要花费 15 分钟才能阅读完成。

喜爱折腾缓缓看，不喜爱折腾间接跳到小简下文的一键脚本那里，两分钟搞好。

我的博客：https://blog.ideaopen.cn

我的公众号：小简聊开发

编辑 `docker.service` 文件

vi /usr/lib/systemd/system/docker.service
# 或者应用 vim
vim /usr/lib/systemd/system/docker.service

找到 Service节点，批改 ExecStart 属性，减少 -H tcp://0.0.0.0:2375

这样相当于对外开放的是 2375 端口，你也能够更改端口。

systemctl daemon-reload 
systemctl restart docker

刷新配置后，能够通过 IP: 端口号 拜访，如：127.0.0.1:2375。

然而前提是你防火墙凋谢了这个端口，不然是拜访不了的。

我这里应用的是云服务器，就不凋谢端口了，没有明码裸露端口很危险。

此段是对上文凋谢端口的补充。

虚拟机 Linux 能够应用如下命令凋谢端口。

firewall-cmd --zone=public --add-port=2375/tcp --permanent
firewall-cmd --reload

云服务器，如：阿里云、腾讯云，请返回服务器治理放行端口。

官网文档曾经提供了基于 CA 证书的加密办法：Docker Doc

再次阐明，如果不设置平安密钥拜访，那就不要用于生产环境！

在开发环境用用就行了，如果间接把 Docker 这样对外裸露是十分危险的，就和你数据库对外开放，还不设置明码一样。

创立一个 ca 文件夹用来寄存私钥跟公钥

mkdir -p /usr/local/ca
cd /usr/local/ca

在 `Docker` 守护程序的主机上(也就是本机)，生成 CA 私钥和公钥

openssl genrsa -aes256 -out ca-key.pem 4096

执行完如上指令后，会要求咱们输出明码。

注：Linux 明码不会展现，盲打就能够。

胜利，咱们查看一下是否有文件生成。

PEM就是证书文件。

补全 CA 证书信息

执行如下指令：

openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

录入信息：

而后顺次输出：拜访明码、国家、省、市、组织名称、单位名称、轻易一个名字、邮箱等。为了省事，组织、单位之类的（其实乱输出也能够，嘿嘿嘿）。

国家只能两个字符，就间接 CN 吧。

Country Name (2 letter code) [XX]:cn
State or Province Name (full name) []:HuNan
Locality Name (eg, city) [Default City]:ChangSha          
Organization Name (eg, company) [Default Company Ltd]:JanYork
Organizational Unit Name (eg, section) []:JanYork
Common Name (eg, your name or your server's hostname) []:JanYork
Email Address []:747945307@qq.com

这样 CA 证书就创立实现了，而后咱们还须要去创立服务器密钥和证书签名申请 (CSR) 了，确保“通用名称”与你连贯 Docker 时应用的主机名相匹配。

生成 server-key.pem

openssl genrsa -out server-key.pem 4096

用 CA 签订公钥

咱们能够通过 IP 地址和 DNS 名称建设 TLS 连贯，因而在创立证书时须要指定 IP 地址。例如，容许应用 127.0.0.1 的连贯。

openssl req -subj "/CN=127.0.0.1" -sha256 -new -key server-key.pem -out server.csr

如果是应用域名，同理。

openssl req -subj "/CN=ideaopen.cn" -sha256 -new -key server-key.pem -out server.csr

注：填写的 IP 或者域名，都是未来对外开放的地址，也就是用于连贯的地址。

匹配白名单

设置容许哪些 IP 能够近程连贯docker。

容许指定 IP 能够近程连贯docker。

echo subjectAltName = DNS:$HOST,IP:XX.XX.XX.XX,IP:XX.XX.XX.XX >> extfile.cnf

$HOST是你的 IP 或者域名，应用时将 $HOST 替换为本人的 IP 或者域名。

如：

# 127.0.0.1 服务器上的 docker，只容许 ip 地址为 225.225.225.0 的客户连贯
echo subjectAltName = DNS:127.0.0.1,IP:225.225.225.0 >> extfile.cnf
# ideaopen.cn 服务器上的 docker，只容许 ip 地址为 225.225.225.0 的客户连贯
echo subjectAltName = DNS:ideaopen.cn,IP:225.225.225.0 >> extfile.cnf

容许所有 IP 连贯

设置 IP 为0.0.0.0即可。

如：
```
echo subjectAltName = DNS:127.0.0.1,IP:0.0.0.0 >> extfile.cnf
```
注：但只容许永恒证书的才能够连贯胜利

执行命令

将 Docker 守护程序密钥的扩大应用属性设置为仅用于服务器身份验证。

echo extendedKeyUsage = serverAuth >> extfile.cnf

生成签名证书

openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out server-cert.pem -extfile extfile.cnf

而后输出之前的明码。

生成客户端 Key(key.pem)

openssl genrsa -out key.pem 4096
openssl req -subj '/CN=client' -new -key key.pem -out client.csr

使秘钥适宜客户端身份验证

创立扩大配置文件：

echo extendedKeyUsage = clientAuth >> extfile.cnf
echo extendedKeyUsage = clientAuth > extfile-client.cnf

生成签名证书(cert.pem)

openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out cert.pem -extfile extfile-client.cnf

输出之前的明码。

删除多余文件

能够看到有很多文件生成：

生成 cert.pem，server-cert.pem 后，执行如下命令：

rm -v client.csr server.csr extfile.cnf extfile-client.cnf

此命令能够平安地删除两个证书签名申请和扩大配置文件。

始终填 Y 就能够。

批改权限

避免密钥文件被误删或者损坏，咱们扭转一下文件权限，让它只读就能够。

chmod -v 0400 ca-key.pem key.pem server-key.pem

避免证书损坏，咱们也删除它的写入权限。

chmod -v 0444 ca.pem server-cert.pem cert.pem

归集服务器证书

cp server-*.pem /etc/docker/
cp ca.pem /etc/docker/

批改 Docker 配置

咱们须要设置 Docker 的守护程序，让它仅接管来自提供了 CA 信赖证书的客户端连贯。

vim /lib/systemd/system/docker.service
# 当然，也能够 vi
vi /lib/systemd/system/docker.service

将 ExecStart 属性值进行批改：

ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/usr/local/ca/ca.pem --tlscert=/usr/local/ca/server-cert.pem --tlskey=/usr/local/ca/server-key.pem -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock

从新加载 daemon、重启 docker

systemctl daemon-reload
systemctl restart docker

我是腾讯云服务器，所有我须要开启一下端口，先前没开。

无证书连贯

没证书是连贯不上的。

应用证书连贯

获取证书

咱们首先获取我服务器上的证书。

这四个都要。

放到一个文件夹。

IDEA 连贯

证书文件夹抉择你寄存证书的文件夹。

URL 是：https://+近程连贯 IP+设置的端口。

留神：肯定是HTTPS！

这样就连贯胜利了。

#!/bin/sh
ip= 你的 IP
password= 你的明码
dir=/root/docker/cert # 证书生成地位
validity_period=10    # 证书有效期 10 年

# 将此 shell 脚本在装置 docker 的机器上执行，作用是生成 docker 近程连贯加密证书
if [! -d "$dir"]; then
  echo ""echo"$dir , not dir , will create"echo""
  mkdir -p $dir
else
  echo ""echo"$dir , dir exist , will delete and create"echo""
  rm -rf $dir
  mkdir -p $dir
fi

cd $dir || exit
# 创立根证书 RSA 私钥
openssl genrsa -aes256 -passout pass:"$password" -out ca-key.pem 4096
# 创立 CA 证书
openssl req -new -x509 -days $validity_period -key ca-key.pem -passin pass:"$password" -sha256 -out ca.pem -subj "/C=NL/ST=./L=./O=./CN=$ip"
# 创立服务端私钥
openssl genrsa -out server-key.pem 4096
# 创立服务端签名申请证书文件
openssl req -subj "/CN=$ip" -sha256 -new -key server-key.pem -out server.csr

echo subjectAltName = IP:$ip,IP:0.0.0.0 >>extfile.cnf

echo extendedKeyUsage = serverAuth >>extfile.cnf
# 创立签名失效的服务端证书文件
openssl x509 -req -days $validity_period -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$password" -CAcreateserial -out server-cert.pem -extfile extfile.cnf
# 创立客户端私钥
openssl genrsa -out key.pem 4096
# 创立客户端签名申请证书文件
openssl req -subj '/CN=client' -new -key key.pem -out client.csr

echo extendedKeyUsage = clientAuth >>extfile.cnf

echo extendedKeyUsage = clientAuth >extfile-client.cnf
# 创立签名失效的客户端证书文件
openssl x509 -req -days $validity_period -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$password" -CAcreateserial -out cert.pem -extfile extfile-client.cnf
# 删除多余文件
rm -f -v client.csr server.csr extfile.cnf extfile-client.cnf

chmod -v 0400 ca-key.pem key.pem server-key.pem

chmod -v 0444 ca.pem server-cert.pem cert.pem

这一段请自行批改：

ip= 你的 IP
password= 你的明码
dir=/root/docker/cert # 证书生成地位
validity_period=10    # 证书有效期 10 年

运行前请给脚本文件 777 权限。

chmod 777 xxx.sh

老样子：

vim /usr/lib/systemd/system/docker.service

找到ExecStart = 结尾的一行代码，将其替换为如下内容：

ExecStart=/usr/bin/dockerd \
--tlsverify \
--tlscacert=/root/docker/cert/ca.pem \
--tlscert=/root/docker/cert/server-cert.pem \
--tlskey=/root/docker/cert/server-key.pem \
-H fd:// -H tcp://0.0.0.0:2376

留神：/root/docker/cert/是证书文件门路！灵便应用。

systemctl daemon-reload && systemctl restart docker

服务器本机测试 (先CD 进入证书文件夹)：

docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp:// 你的 ip:2376 -v

集体终端测试：

curl https:// 你的 ip:2376/info --cert /root/docker/cert/cert.pem --key /root/docker/cert/key.pem --cacert /root/docker/cert/ca.pem

2376是你凋谢的端口，灵便批改！

一键脚本很不便，小简举荐应用这个，不折腾，我是折腾玩儿才不必脚本的。

生产环境平安不容忽略，大家公网环境可千万别粗枝大叶哦！Docker 很多教程都只通知你关上连贯，万一有人服务器上开启连贯，那就不是很好了，所以我才写一篇平安认证配置和 Linux Dcoker 近程连贯配置一起的教程。

下期再见，小简提前祝大家新春快乐哦！

正文完

后端

发表至：后端

2023-01-18

0

关于后端:使用华为HECS云服务器打造TelegrafInfluxdbGrafana-监控系统华为云至简致远

关于后端:月度刷题计划同款常见数据结构运用

怒刷-LeetCode-集锦日更文

关于后端:PageHelper分页

关于vue.js:vue-文档-jsx-和-slot-content

关于后端:Linux开启Docker远程访问并设置安全访问证书密钥附一份小白一键设置脚本哦

前言

开启近程拜访

编辑 `docker.service` 文件

从新加载配置

尝试拜访

端口放行

配置平安 (密钥) 拜访

创立 CA 私钥和 CA 公钥

创立一个 ca 文件夹用来寄存私钥跟公钥

在 `Docker` 守护程序的主机上(也就是本机)，生成 CA 私钥和公钥

补全 CA 证书信息

生成 server-key.pem

用 CA 签订公钥

匹配白名单

执行命令

生成签名证书

生成客户端 Key(key.pem)

使秘钥适宜客户端身份验证

生成签名证书(cert.pem)

删除多余文件

批改权限

归集服务器证书

批改 Docker 配置

从新加载 daemon、重启 docker

应用 IDEA 连贯 Docker

无证书连贯

应用证书连贯

获取证书

IDEA 连贯

一键创立证书脚本

给予权限

编辑 docker.service 配置文件

刷新 Docker

测试连贯办法

尾述(总结)

站内搜索

关于后端:Linux开启Docker远程访问并设置安全访问证书密钥附一份小白一键设置脚本哦

前言

开启近程拜访

编辑 docker.service 文件

从新加载配置

尝试拜访

端口放行

配置平安 (密钥) 拜访

创立 CA 私钥和 CA 公钥

创立一个 ca 文件夹用来寄存私钥跟公钥

在 Docker 守护程序的主机上(也就是本机)，生成 CA 私钥和公钥

补全 CA 证书信息

生成 server-key.pem

用 CA 签订公钥

匹配白名单

执行命令

生成签名证书

生成客户端 Key(key.pem)

使秘钥适宜客户端身份验证

生成签名证书(cert.pem)

删除多余文件

批改权限

归集服务器证书

批改 Docker 配置

从新加载 daemon、重启 docker

应用 IDEA 连贯 Docker

无证书连贯

应用证书连贯

获取证书

IDEA 连贯

一键创立证书脚本

给予权限

编辑 docker.service 配置文件

刷新 Docker

测试连贯办法

尾述(总结)

站内搜索

编辑 `docker.service` 文件

在 `Docker` 守护程序的主机上(也就是本机)，生成 CA 私钥和公钥