Docker教程02：Docker开启远程访问

Docker 守护进程默认情况下只允许本地访问，不允许远程访问。本文将介绍如何开启 Docker 远程访问，即实现通过本地 Docker 客户端访问远程主机的 Docker 服务，以此来监控远程主机上的 Docker 容器。

一. 编辑 docker.service 文件

vim /usr/lib/systemd/system/docker.service

找到 [Service] 节点，修改 ExecStart 属性，增加 -H tcp://0.0.0.0:2375

ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock -H tcp://0.0.0.0:2375

二. 重启 Docker 服务，使配置生效

systemctl daemon-reload
systemctl restart docker

通过浏览器访问 2375 端口测试一下，http://192.168.31.161:2375/version

如果无法访问，则检查防火墙 2375 端口是否开放，具体命令如下：

firewall-cmd --zone=public --add-port=2375/tcp --permanent
firewall-cmd --reload

如果使用的机器是云服务器，如阿里云、腾讯云等，需要到服务器安全组规则中查看是否开放 2375 端口，如未配置，增加该端口配置即可。

这样我们就可以直接在 IntelliJ IDEA 的 Docker 插件中连接测试，如下图所示：

三. 配置 Docker 安全访问

以上两步切勿用于生产环境！在开发环境用用就行了，如果直接把 Docker 这样对外暴露是非常危险的，就跟你将 Redis 对外开放 6379 还不设置密码一样。

其实官方文档已经提供基于CA证书的加密方法了，查看官方说明文档。

3.1 创建 CA 私钥和 CA 公钥

首先创建一个ca文件夹用来存放私钥跟公钥

mkdir -p /usr/local/certs.d/dockerd/ca
cd /usr/local/certs.d/dockerd/ca

然后在Docker守护进程的主机上，生成 CA 私钥和公钥

openssl genrsa -aes256 -out ca-key.pem 4096

这里会要求我们输入 CA 证书密码才能进行下一步，此处我将密码设置为：syskey

3.2 补全 CA 证书信息

执行以下命令：

openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

然后依次输入：证书访问密码、国家、省、市、组织名称、单位名称、通用名称（随便一个名字）、邮箱等。

至此，CA证书就创建完成了，有了CA之后，就可以创建服务器密钥和证书签名请求（CSR）了，确保通用名称与你连接 Docker 时使用的主机名相匹配。

3.3 生成 server-key.pem

openssl genrsa -out server-key.pem 4096

3.4 用 CA 签署公钥

由于可以通过 IP 地址和 DNS 名称建立 TLS 连接，因此在创建证书时需要指定 IP 地址。例如，允许使用 192.168.31.161 进行连接：

# openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr
openssl req -subj "/CN=192.168.31.161" -sha256 -new -key server-key.pem -out server.csr

如果你是用的域名（例如：www.itshangxp.com）则替换一下即可：

openssl req -subj "/CN=www.itshangxp.com" -sha256 -new -key server-key.pem -out server.csr

注意：这里的 IP 或者域名，都是指的将来用于对外的地址。

3.5 匹配白名单

配置白名单的意义在于，允许哪些 IP 地址可以远程连接 Docker 守护进程，有以下两种方式。

可跳过 3.5.1 步骤，直接执行 3.5.2 步骤。

3.5.1 允许指定的 IP 地址可以连接到 Docker 守护进程，多个 IP 地址用逗号分隔

echo subjectAltName = DNS:$HOST,IP:ip地址1,IP:ip地址2 >> extfile.cnf

使用时将 $HOST 替换为自己的 IP 地址或者域名，这取决于你对外暴漏的 Docker 链接是 IP 还是域名。

# 192.168.31.161主机上的Docker守护进程，只允许IP地址为10.10.10.20与127.0.0.1的客户端连接
echo subjectAltName = DNS:192.168.31.161,IP:10.10.10.20,IP:127.0.0.1 >> extfile.cnf

# www.itshangxp.com主机上的Docker守护进程，只允许IP地址为10.10.10.20与127.0.0.1的客户端连接
echo subjectAltName = DNS:www.itshangxp.com,IP:10.10.10.20,IP:127.0.0.1 >> extfile.cnf

3.5.2 配置 0.0.0.0，允许所有的 IP 地址可以链接（但只允许永久证书的才可以连接成功）

这里需要注意，不能直接使用官方给的示例，去掉DNS，将 Docker 服务所在的主机 IP 地址加进去，否则客户端无法连接。

echo subjectAltName = IP:192.168.31.161,IP:0.0.0.0 >> extfile.cnf

3.6 设置 Docker 守护进程密钥的扩展属性

将 Docker 守护进程密钥的扩展使用属性设置为仅用于服务器身份验证：

echo extendedKeyUsage = serverAuth >> extfile.cnf

3.7 生成签名证书

openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out server-cert.pem -extfile extfile.cnf

执行后需要输入上面设置的 CA 证书密码，如下图所示

创建客户端密钥和证书签名

为了简化接下来的几个步骤，你也可以在 Docker 守护进程的主机上执行此步骤。

3.8 生成客户端密钥文件 key.pem

openssl genrsa -out key.pem 4096
openssl req -subj '/CN=client' -new -key key.pem -out client.csr

3.9 创建新的扩展配置文件，使密钥适用于客户端身份验证

echo extendedKeyUsage = clientAuth > extfile-client.cnf

3.10 生成客户端签名证书

openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out cert.pem -extfile extfile-client.cnf

生成 cert.pem，需要再次输入之前设置的 CA 证书密码：syskey

3.11 删除不必要的文件

生成 cert.pem 和 server-cert.pem 之后，可以安全的删除两个证书签名请求和扩展配置文件。

rm -v client.csr server.csr extfile.cnf extfile-client.cnf

3.12 修改证书文件权限

为保护您的密钥免受意外损坏，请删除其写入权限。要使它们只能由您读取，请按如下方式更改文件模式：

chmod -v 0400 ca-key.pem key.pem server-key.pem
# 证书可以使对外可读的，删除写入权限以防止意外损坏
chmod -v 0444 ca.pem server-cert.pem cert.pem

3.13 部署证书

修改 docker.service 文件

vim /lib/systemd/system/docker.service

将 ExecStart 属性值进行替换

ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/usr/local/certs.d/dockerd/ca/ca.pem --tlscert=/usr/local/certs.d/dockerd/ca/server-cert.pem --tlskey=/usr/local/certs.d/dockerd/ca/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock

3.14 重新加载 daemon 并重启 Docker 服务

systemctl daemon-reload
systemctl restart docker

3.15 从 Docker 主机上下载证书文件到本地

从 Docker 主机上下载以下 4 个证书文件至本地文件夹，这个文件夹将用于在 IntelliJ IDEA 里指定。

• ca.pem
• ca-key.pem
• cert.pem
• key.pem

需要说明的是，TCP 里的链接需要改成 https 格式，具体内容如下图所示：