Docker 如何開啟遠端訪問

林泽阿發表於2024-10-31

Docker 開啟遠端訪問需要確保 Docker 守護程序（Daemon）配置了適當的監聽地址、調整防火牆規則來允許合適的網路訪問，並確保了安全性措施，如使用 TLS 加密。具體步驟包括編輯 Docker 服務檔案、修改啟動引數、重新啟動服務和設定防火牆規則。

首先，要啟動Docker的遠端訪問功能，我們需要修改Docker守護程序的配置，讓它監聽一個TCP埠。預設情況下，Docker守護程序只監聽UNIX套接字，這隻允許本機訪問。透過修改配置，我們可以讓Docker守護程序監聽一個TCP埠，從而實現遠端訪問。但是，一定要注意安全性，因為TCP埠監聽可能會使得Docker守護程序面臨來自網路的攻擊。因此，在開啟遠端訪問的同時，建議使用TLS來加密通訊，以及設定防火牆規則，只讓信任的客戶端可以訪問。

讓我們詳細看看如何安全地啟用Docker的遠端訪問功能。

## 一、修改 DOCKER 服務檔案

要修改Docker Daemon的監聽地址，我們需要編輯Docker服務的啟動檔案。對於使用systemd的系統，Docker服務檔案通常位於`/lib/systemd/system/docker.service`。你可以使用`sudo systemctl edit docker.service`來建立一個覆蓋檔案，這樣即使Docker更新，你的更改也不會丟失。

“`

[Service]

ExecStart=

ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock

“`

這裡，`-H tcp://0.0.0.0:2375`指定Docker守護程序應該監聽所有IP地址的2375埠上的TCP連線。而`-H unix:///var/run/docker.sock`保留了本地UNIX套接字的支援。

在配置Docker守護程序監聽TCP埠的同時，務必不要忽略加密和認證的設定，否則你的Docker守護程序將暴露於潛在風險中。

## 二、配置 TLS 加密

為了確保遠端訪問的安全，建議配置TLS來加密客戶端和Docker Daemon之間的通訊。這需要生成證書和金鑰，並配置Docker守護程序使用這些加密材料。

首先，你需要建立一個CA（證書授權中心），然後為Docker守護程序和客戶端建立證書和私鑰。之後，你需要在Daemon啟動引數中指定TLS驗證，並提供證書位置。

“`

ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2376 –tlsverify –tlscacert=/path/to/ca.pem –tlscert=/path/to/server-cert.pem –tlskey=/path/to/server-key.pem

“`

在上面的例子中，我們使用了2376埠，這通常是用於TLS加密通訊的埠號，並指定了必要的證書檔案和私鑰。務必確保證書檔案的路徑和檔名是正確的。

## 三、重新啟動 DOCKER 服務

對配置檔案的改動在重新啟動Docker服務後生效。使用以下命令可以重新載入systemd的配置檔案並重啟Docker服務。

“`

sudo systemctl daemon-reload

sudo systemctl restart docker.service

“`

在重啟完成後，Docker守護程序應該開始監聽配置的TCP埠。

## 四、設定防火牆規則

為了安全起見，你還需要配置伺服器的防火牆，以允許信任來源的遠端訪問請求，同時阻止其他所有未經授權的訪問嘗試。如果你使用的是`ufw`（Uncomplicated Firewall），則可以按照以下步驟設定規則。

“`

sudo ufw allow from 任意信任的IP地址 to any port 2376 proto tcp

sudo ufw reload

“`

確保替換其中的`任意信任的IP地址`為實際的IP地址或IP段。如果你要求更加細緻的控制，你可能需要使用更復雜的防火牆規則設定。

透過完成以上步驟，你已經能夠安全地配置Docker以允許遠端訪問了。不過請記得，網路安全是動態的，需要定期對現有的安全設定進行審查，並根據最新的威脅情報來更新你的防護措施。

開啟遠端訪問後，管理和維護Docker環境的靈活性無疑會得到極大提升，但這也伴隨著更高的安全風險。因此，當你決定開啟遠端訪問時，務必確保適當的安全措施也同樣到位。

Docker 如何開啟遠端訪問

相關問答FAQs：

相關文章