### 歡迎訪問我的GitHub
> 這裡分類和彙總了欣宸的全部原創(含配套原始碼)：[https://github.com/zq2599/blog_demos](https://github.com/zq2599/blog_demos)

### 本篇概覽
- [《Docker遠端連線設定》](https://blog.csdn.net/boling_cavalry/article/details/100049996)一文講述了開啟Docker遠端連線的方法，但那種方法不安全，因為任何客戶端都可以透過Docker服務的IP地址連線上去，今天我們就來學習Docker官方推薦的安全的遠端連線方式：TLS加密連線，透過證書來保證安全性。
### 官方文件
- 這裡是官方的權威文件：https://docs.docker.com/engine/security/https/
### 環境資訊
- 本次實戰的環境資訊如下：
1. Docker服務所在機器（下面以A機器表示）：CentOS Linux release 7.6.1810
2. Docker服務版本：1.13.1
3. 另一臺驗證遠端連線的機器（下面以B機器表示）也是CentOS 7.6，其上安裝了Docker client 1.13.1

### 操作步驟
- 本次實戰的操作步驟如下：
1. 製作證書，包括CA、服務端、客戶端的；
2. 設定機器A上的Docker服務的TLS連線；
3. 從機器B遠端連線機器A上的Docker服務；

### 製作證書（A機器）
- 在Linux伺服器上建一個目錄，進入此目錄，我這裡是 **/root/work** 
- 建立根證書RSA私鑰：
```shell
openssl genrsa -aes256 -out ca-key.pem 4096
```
- 頁面提示 **Enter pass phrase for ca-key.pem** ，此時輸入秘鑰的密碼，我這裡輸入了 **1234** ，回車後會要求再輸入一次，兩次密碼一致就會在當前目錄生成CA秘鑰檔案 **ca-key.pem** ;
- 以此秘鑰建立CA證書，自己給自己簽發證書,自己就是CA機構,也可以交給第三方機構去簽發：
```shell
openssl req -new -x509 -days 1000 -key ca-key.pem -sha256 -subj "/CN=*" -out ca.pem
```
此時生成的 **ca.pem** 檔案就是CA證書；
- 建立服務端私鑰：
```shell
openssl genrsa -out server-key.pem 4096
```
- 此時生成的 **server-key.pem** 檔案就是服務端私鑰；
- 生成服務端證書籤名請求(csr即certificate signing request，裡面包含公鑰與服務端資訊)
```shell
openssl req -subj "/CN=*" -sha256 -new -key server-key.pem -out server.csr
```
- 此時生成的 **server.csr** 檔案就是服務端證書；
- 生成簽名過的服務端證書（期間會要求輸入密碼1234）：
```shell
openssl x509 -req -days 1000 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem
```
- 此時生成的 **server-cert.pem** 檔案就是已蓋章生效的服務端證書；
- 生成客戶私鑰：
```shell
openssl genrsa -out key.pem 4096
```
- 此時生成的 **key.pem** 檔案就是客戶私鑰；
- 生成客戶端證書籤名請求：
```shell
openssl req -subj "/CN=client" -new -key key.pem -out client.csr
```
- 此時生成的 **client.csr** 檔案就是客戶端證書籤名請求；
- 生成名為 **extfile.cnf** 的配置檔案：
```shell
echo extendedKeyUsage=clientAuth > extfile.cnf
```
- 生成簽名過的客戶端證書（期間會要求輸入密碼1234）：
```shell
openssl x509 -req -days 1000 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf
```
- 將多餘的檔案刪除：
```shell
rm -rf ca.srl client.csr extfile.cnf server.csr
```
- 此時還剩以下檔案：

- 至此，所有證書檔案製作完成，接下來對Docker做TLS安全配置；

### Docker的TLS連線設定（A機器）
- 開啟檔案 **/lib/systemd/system/docker.service** ，找到下圖紅框中的內容：
![在這裡插入圖片描述](https://img-blog.csdnimg.cn/20190907183007770.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly94aW5jaGVuLmJsb2cuY3Nkbi5uZXQ=,size_16,color_FFFFFF,t_70)
- 將上圖紅框中的一整行內容替換為以下內容：
```properties
ExecStart=/usr/bin/dockerd-current --tlsverify --tlscacert=/root/work/ca.pem --tlscert=/root/work/server-cert.pem --tlskey=/root/work/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock \
```
- 載入上述配置，再重啟docker服務：
```shell
systemctl daemon-reload && systemctl restart docker
```
- 配置完成，接下來驗證遠端TLS連線。
### 驗證遠端TLS連線（B機器）
- 假設前面我們操作的電腦為A，IP地址是 **192.168.121.138** ；
- 現在再準備一臺電腦B，IP地址是 **192.168.121.132** ，用來驗證TLS加密遠端連線A上的Docker；
- 在A機器執行以下命令，將A上的 **ca.pem、cert.pem、key.pem** 這三個檔案複製到B機器的 **/root/work** 目錄(請提前建好此目錄)：
```shell
scp /root/work/ca.pem root@192.168.121.132:/root/work \
&& scp /root/work/cert.pem root@192.168.121.132:/root/work \
&& scp /root/work/key.pem root@192.168.121.132:/root/work
```
- 在製作證書時沒有允許透過IP訪問服務端，所以B在連線A的Docker時不能直接用A的IP，所以要用host來訪問A，給B電腦增加一個host配置(如果B電腦是Linux，就在/etc/hosts檔案上配置)：
```shell
192.168.121.138 docker-daemon
```
- 在B上執行以下命令，即可連線A的Docker服務：
```shell
docker --tlsverify --tlscacert=/root/work/ca.pem --tlscert=/root/work/cert.pem --tlskey=/root/work/key.pem -H tcp://docker-daemon:2376 version
```
- 控制檯顯示以下資訊，其中Server部分就是A機器的Docker資訊：
```shell
Client:
 Version:         1.13.1
 API version:     1.26
 Package version: docker-1.13.1-102.git7f2769b.el7.centos.x86_64
 Go version:      go1.10.3
 Git commit:      b2f74b2/1.13.1
 Built:           Wed May  1 14:55:20 2019
 OS/Arch:         linux/amd64

Server:
 Version:         1.13.1
 API version:     1.26 (minimum version 1.12)
 Package version: docker-1.13.1-102.git7f2769b.el7.centos.x86_64
 Go version:      go1.10.3
 Git commit:      7f2769b/1.13.1
 Built:           Mon Aug  5 15:09:42 2019
 OS/Arch:         linux/amd64
 Experimental:    false
```
- 不用證書連線試試，各種嘗試都失敗了：
```shell
[root@centos7 work]# docker -H tcp://192.168.121.138:2375 images
Cannot connect to the Docker daemon at tcp://192.168.121.138:2375. Is the docker daemon running?
[root@centos7 work]# docker -H tcp://docker-daemon:2375 images
Cannot connect to the Docker daemon at tcp://docker-daemon:2375. Is the docker daemon running?
[root@centos7 work]# docker -H tcp://192.168.121.138:2376 images
Get http://192.168.121.138:2376/v1.26/images/json: net/http: HTTP/1.x transport connection broken: malformed HTTP response "\x15\x03\x01\x00\x02\x02".
* Are you trying to connect to a TLS-enabled daemon without TLS?
[root@centos7 work]# docker -H tcp://docker-daemon:2376 images
Get http://docker-daemon:2376/v1.26/images/json: net/http: HTTP/1.x transport connection broken: malformed HTTP response "\x15\x03\x01\x00\x02\x02".
* Are you trying to connect to a TLS-enabled daemon without TLS?
```
- 至此，TLS加密遠端連線Docker的實戰就完成了，希望您在設定安全的Docker遠端連線是，本文能給您提供參考。

### 歡迎關注ITpub：程式設計師欣宸
> [學習路上，你不孤單，欣宸原創一路相伴...](http://blog.itpub.net/70017844/)

TLS加密遠端連線Docker

相關文章