国产无码综合区,色欲AV无码国产永久播放,无码天堂亚洲国产AV,国产日韩欧美女同一区二区

Linux開啟Docker遠程訪問并設置安全訪問(證書密鑰)，附一份小白一鍵設置腳本哦！

2年前作者：小簡(JanYork)分類：Toy博客閱讀(21)違法舉報

這篇具有很好參考價值的文章主要介紹了Linux開啟Docker遠程訪問并設置安全訪問(證書密鑰)，附一份小白一鍵設置腳本哦！。希望對大家有所幫助。如果存在錯誤或未考慮完全的地方，請大家不吝賜教，您也可以點擊"舉報違法"按鈕提交疑問。

前言

喜歡折騰慢慢看，不喜歡折騰直接跳到小簡下文的一鍵腳本那里，兩分鐘搞好。

我的博客：https://blog.ideaopen.cn

我的公眾號：小簡聊開發(fā)

開啟遠程訪問

編輯`docker.service`文件

vi /usr/lib/systemd/system/docker.service
# 或者使用vim
vim /usr/lib/systemd/system/docker.service

找到 Service節(jié)點，修改ExecStart屬性，增加 -H tcp://0.0.0.0:2375

docker 證書訪問,Java,其他技術,docker,linux,安全

docker 證書訪問,Java,其他技術,docker,linux,安全

這樣相當于對外開放的是 2375 端口，你也可以更改端口。

重新加載配置

systemctl daemon-reload 
systemctl restart docker

嘗試訪問

刷新配置后，可以通過IP:端口號訪問，如：127.0.0.1:2375。

但是前提是你防火墻開放了這個端口，不然是訪問不了的。

我這里使用的是云服務器，就不開放端口了，沒有密碼暴露端口很危險。

端口放行

此段是對上文開放端口的補充。

虛擬機Linux可以使用如下命令開放端口。

firewall-cmd --zone=public --add-port=2375/tcp --permanent
firewall-cmd --reload

云服務器，如：阿里云、騰訊云，請前往服務器管理放行端口。

配置安全(密鑰)訪問

官方文檔已經提供了基于CA證書的加密方法：Docker Doc

再次說明，如果不設置安全密鑰訪問，那就不要用于生產環(huán)境！

在開發(fā)環(huán)境用用就行了，如果直接把Docker這樣對外暴露是非常危險的，就和你數據庫對外開放，還不設置密碼一樣。

創(chuàng)建CA私鑰和CA公鑰

創(chuàng)建一個ca文件夾用來存放私鑰跟公鑰

mkdir -p /usr/local/ca
cd /usr/local/ca

在`Docker`守護程序的主機上(也就是本機)，生成CA私鑰和公鑰

openssl genrsa -aes256 -out ca-key.pem 4096

執(zhí)行完如上指令后，會要求我們輸入密碼。

注：Linux密碼不會展示，盲打就可以。

docker 證書訪問,Java,其他技術,docker,linux,安全

成功，我們查看一下是否有文件生成。

docker 證書訪問,Java,其他技術,docker,linux,安全

PEM就是證書文件。

補全CA證書信息

執(zhí)行如下指令：

openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

錄入信息：

然后依次輸入：訪問密碼、國家、省、市、組織名稱、單位名稱、隨便一個名字、郵箱等。為了省事，組織、單位之類的（其實亂輸入也可以，嘿嘿嘿）。

docker 證書訪問,Java,其他技術,docker,linux,安全

國家只能兩個字符，就直接CN吧。

Country Name (2 letter code) [XX]:cn
State or Province Name (full name) []:HuNan
Locality Name (eg, city) [Default City]:ChangSha          
Organization Name (eg, company) [Default Company Ltd]:JanYork
Organizational Unit Name (eg, section) []:JanYork
Common Name (eg, your name or your server's hostname) []:JanYork
Email Address []:747945307@qq.com

這樣CA證書就創(chuàng)建完成了，然后我們還需要去創(chuàng)建服務器密鑰和證書簽名請求(CSR)了，確?！巴ㄓ妹Q”與你連接Docker時使用的主機名相匹配。

生成server-key.pem

openssl genrsa -out server-key.pem 4096

用CA簽署公鑰

我們可以通過IP地址和DNS名稱建立TLS連接，因此在創(chuàng)建證書時需要指定IP地址。例如，允許使用127.0.0.1的連接。

openssl req -subj "/CN=127.0.0.1" -sha256 -new -key server-key.pem -out server.csr

如果是使用域名，同理。

openssl req -subj "/CN=ideaopen.cn" -sha256 -new -key server-key.pem -out server.csr

注：填寫的IP或者域名，都是將來對外開放的地址，也就是用于連接的地址。

匹配白名單

設置允許哪些IP可以遠程連接docker。

允許指定IP可以遠程連接docker。

echo subjectAltName = DNS:$HOST,IP:XX.XX.XX.XX,IP:XX.XX.XX.XX >> extfile.cnf

$HOST是你的IP或者域名，使用時將$HOST替換為自己的IP或者域名。

如：

# 127.0.0.1 服務器上的 docker，只允許ip地址為225.225.225.0的客戶連接
echo subjectAltName = DNS:127.0.0.1,IP:225.225.225.0 >> extfile.cnf
# ideaopen.cn 服務器上的 docker，只允許ip地址為225.225.225.0的客戶連接
echo subjectAltName = DNS:ideaopen.cn,IP:225.225.225.0 >> extfile.cnf

允許所有IP連接

設置IP為0.0.0.0即可。

如：
```
echo subjectAltName = DNS:127.0.0.1,IP:0.0.0.0 >> extfile.cnf
```
注：但只允許永久證書的才可以連接成功

執(zhí)行命令

將Docker守護程序密鑰的擴展使用屬性設置為僅用于服務器身份驗證。

echo extendedKeyUsage = serverAuth >> extfile.cnf

生成簽名證書

openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out server-cert.pem -extfile extfile.cnf

然后輸入之前的密碼。

生成客戶端Key(key.pem)

openssl genrsa -out key.pem 4096
openssl req -subj '/CN=client' -new -key key.pem -out client.csr

使秘鑰適合客戶端身份驗證

創(chuàng)建擴展配置文件：

echo extendedKeyUsage = clientAuth >> extfile.cnf
echo extendedKeyUsage = clientAuth > extfile-client.cnf

生成簽名證書(cert.pem)

openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out cert.pem -extfile extfile-client.cnf

輸入之前的密碼。

刪除多余文件

可以看到有很多文件生成：

docker 證書訪問,Java,其他技術,docker,linux,安全

生成cert.pem，server-cert.pem后，執(zhí)行如下命令：

rm -v client.csr server.csr extfile.cnf extfile-client.cnf

此命令可以安全地刪除兩個證書簽名請求和擴展配置文件。

一直填Y就可以。

docker 證書訪問,Java,其他技術,docker,linux,安全

修改權限

防止密鑰文件被誤刪或者損壞，我們改變一下文件權限，讓它只讀就可以。

chmod -v 0400 ca-key.pem key.pem server-key.pem

防止證書損壞，我們也刪除它的寫入權限。

chmod -v 0444 ca.pem server-cert.pem cert.pem

歸集服務器證書

cp server-*.pem /etc/docker/
cp ca.pem /etc/docker/

修改Docker配置

我們需要設置Docker的守護程序，讓它僅接收來自提供了CA信任證書的客戶端連接。

vim /lib/systemd/system/docker.service
# 當然，也可以vi
vi /lib/systemd/system/docker.service

將 ExecStart 屬性值進行修改：

ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/usr/local/ca/ca.pem --tlscert=/usr/local/ca/server-cert.pem --tlskey=/usr/local/ca/server-key.pem -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock

重新加載daemon、重啟docker

systemctl daemon-reload
systemctl restart docker

使用IDEA連接Docker

我是騰訊云服務器，所有我需要開啟一下端口，先前沒開。

docker 證書訪問,Java,其他技術,docker,linux,安全

無證書連接

docker 證書訪問,Java,其他技術,docker,linux,安全

沒證書是連接不上的。

使用證書連接

獲取證書

我們首先獲取我服務器上的證書。

docker 證書訪問,Java,其他技術,docker,linux,安全

這四個都要。

放到一個文件夾。

IDEA連接

docker 證書訪問,Java,其他技術,docker,linux,安全

證書文件夾選擇你存放證書的文件夾。

URL是：https://+遠程連接IP+設置的端口。

注意：一定是HTTPS！

這樣就連接成功了。

一鍵創(chuàng)建證書腳本

#!/bin/sh
ip=你的IP
password=你的密碼
dir=/root/docker/cert # 證書生成位置
validity_period=10    # 證書有效期10年

# 將此shell腳本在安裝docker的機器上執(zhí)行，作用是生成docker遠程連接加密證書
if [ ! -d "$dir" ]; then
  echo ""
  echo "$dir , not dir , will create"
  echo ""
  mkdir -p $dir
else
  echo ""
  echo "$dir , dir exist , will delete and create"
  echo ""
  rm -rf $dir
  mkdir -p $dir
fi

cd $dir || exit
# 創(chuàng)建根證書RSA私鑰
openssl genrsa -aes256 -passout pass:"$password" -out ca-key.pem 4096
# 創(chuàng)建CA證書
openssl req -new -x509 -days $validity_period -key ca-key.pem -passin pass:"$password" -sha256 -out ca.pem -subj "/C=NL/ST=./L=./O=./CN=$ip"
# 創(chuàng)建服務端私鑰
openssl genrsa -out server-key.pem 4096
# 創(chuàng)建服務端簽名請求證書文件
openssl req -subj "/CN=$ip" -sha256 -new -key server-key.pem -out server.csr

echo subjectAltName = IP:$ip,IP:0.0.0.0 >>extfile.cnf

echo extendedKeyUsage = serverAuth >>extfile.cnf
# 創(chuàng)建簽名生效的服務端證書文件
openssl x509 -req -days $validity_period -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$password" -CAcreateserial -out server-cert.pem -extfile extfile.cnf
# 創(chuàng)建客戶端私鑰
openssl genrsa -out key.pem 4096
# 創(chuàng)建客戶端簽名請求證書文件
openssl req -subj '/CN=client' -new -key key.pem -out client.csr

echo extendedKeyUsage = clientAuth >>extfile.cnf

echo extendedKeyUsage = clientAuth >extfile-client.cnf
# 創(chuàng)建簽名生效的客戶端證書文件
openssl x509 -req -days $validity_period -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$password" -CAcreateserial -out cert.pem -extfile extfile-client.cnf
# 刪除多余文件
rm -f -v client.csr server.csr extfile.cnf extfile-client.cnf

chmod -v 0400 ca-key.pem key.pem server-key.pem

chmod -v 0444 ca.pem server-cert.pem cert.pem

這一段請自行修改：

ip=你的IP
password=你的密碼
dir=/root/docker/cert # 證書生成位置
validity_period=10    # 證書有效期10年

給予權限

運行前請給腳本文件777權限。

chmod 777 xxx.sh

編輯docker.service配置文件

老樣子：

vim /usr/lib/systemd/system/docker.service

找到ExecStart = 開頭的一行代碼，將其替換為如下內容：

ExecStart=/usr/bin/dockerd \
--tlsverify \
--tlscacert=/root/docker/cert/ca.pem \
--tlscert=/root/docker/cert/server-cert.pem \
--tlskey=/root/docker/cert/server-key.pem \
-H fd:// -H tcp://0.0.0.0:2376

注意：/root/docker/cert/是證書文件路徑！靈活使用。

刷新Docker

systemctl daemon-reload && systemctl restart docker

測試連接方法

服務器本機測試(先CD進入證書文件夾)：

docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://你的ip:2376 -v

個人終端測試：

curl https://你的ip:2376/info --cert /root/docker/cert/cert.pem --key /root/docker/cert/key.pem --cacert /root/docker/cert/ca.pem

2376是你開放的端口，靈活修改！

尾述(總結)

一鍵腳本很方便，小簡推薦使用這個，不折騰，我是折騰玩兒才不用腳本的。

生產環(huán)境安全不容疏忽，大家公網環(huán)境可千萬別粗心大意哦！Docker很多教程都只告訴你打開連接，萬一有人服務器上開啟連接，那就不是很好了，所以我才寫一篇安全認證配置和Linux Dcoker遠程連接配置一起的教程。

下期再見，小簡提前祝大家新春快樂哦！文章來源地址http://www.zghlxwxcb.cn/news/detail-781777.html

到了這里，關于Linux開啟Docker遠程訪問并設置安全訪問(證書密鑰)，附一份小白一鍵設置腳本哦！的文章就介紹完了。如果您還想了解更多內容，請在右上角搜索TOY模板網以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網！

本文來自互聯(lián)網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。如若轉載，請注明出處：如若內容造成侵權/違法違規(guī)/事實不符，請點擊違法舉報進行投訴反饋，一經查實，立即刪除！

分享到：

領支付寶紅包贊助服務器費用

Git 安全遠程訪問：SSH 密鑰對生成、添加和連接步驟解析
SSH（Secure Shell）是一種用于安全遠程訪問的協(xié)議，它提供了加密通信和身份驗證機制。在使用 SSH 連接到遠程 Git 存儲庫時，您可以使用 SSH 密鑰對來確保安全性。以下是關于如何生成和使用 SSH 密鑰對的詳細步驟：生成 SSH 密鑰對打開終端或命令行工具。在命令行中運行以下
2024年03月09日
瀏覽(29)
Docker開啟遠程端口訪問2375
開啟方法： 1、修改/etc/default/docker下的配置 cat /etc/default/docker EOF DOCKER_OPTS=\\\"-H tcp://0.0.0.0:2375\\\" EOF systemctl restart docker 2、修改/usr/lib/systemd/system/docker.service配置 cat /usr/lib/systemd/system/docker.service EOF [Service] ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix://var/run/docker.sock EOF systemctl daem
2024年02月11日
瀏覽(24)
wayos遠程訪問設置開啟wayos路由器遠程管理功能
??? 開啟路由器的遠程管理功能，主要是用于在其他網絡環(huán)境中，能遠程登陸到路由器中，進行查看、管理路由器。 ?? ?打開菜單欄“高級管理 – 訪問設置”在默認 WEB訪問設置選項卡中，我們能看到路由器訪問設置界面，如圖所示： ?? ??? 要開啟路由器遠程管理，只
2024年02月05日
瀏覽(17)
docker搭建mysql并開啟遠程訪問
一、搭建mysql 1、拉取 MySQL 鏡像這里我們拉取官方的最新版本的鏡像： $ docker pull mysql:latest 查看是否已安裝了 mysql： $ docker images 二、運行 MySQL 容器 1、創(chuàng)建掛載文件： 2、運行容器 docker run -d --name mysql -v /opt/datas/docker/mysqllog:/var/log/mysql -v /opt/datas/docker/mysql:/var/lib/mysql -v /op
2024年01月17日
瀏覽(20)
配置開啟Docker2375遠程連接與解決Docker未授權訪問漏洞
首先需要安裝docker ,參考我這篇文章：基于CentOS7安裝配置docker與docker-compose 配置開啟Docker遠程連接的步驟： 1-編輯/usr/lib/systemd/system/docker.service 文件：配置完成后完整的 docekr.service : systemctl daemon-reload 與systemctl restart docker ： systemctl status docker : 查看docker狀態(tài) (后面增加的內
2024年02月05日
瀏覽(29)
在Linux中開啟MySQL遠程連接訪問
編輯 MySQL 配置文件，該文件通常位于 /etc/mysql/my.cnf 或 /etc/my.cnf ，具體取決于您的 Linux 發(fā)行版和版本。找到 [mysqld] 部分，并找到指定綁定地址參數的行。默認情況下，此參數通常設置為 “127.0.0.1” ，這意味著 MySQL 只監(jiān)聽本地機器上的連接。
2024年02月12日
瀏覽(18)
Mac下Docker Desktop安裝命令行工具、開啟本地遠程訪問
Mac系統(tǒng)下，為了方便在terminal和idea里使用docker，需要安裝docker命令行工具，和開啟Docker Desktop本地遠程訪問。具體方法是在設置-高級下， 1.將勾選的User調整為System，這樣不用手動配置PATH即可使用docker命令 2.勾選“Allow the default Docker socket to be used (requires password)”，開啟Do
2024年02月03日
瀏覽(22)
Linux 安裝Jupyter notebook 并開啟遠程訪問
確保你的系統(tǒng)上已經安裝了Python。大多數Linux發(fā)行版都預裝了Python。你可以在終端中運行以下命令來檢查是否已安裝： Jupyter目前更傾向于與Python 3.x 版本一起使用。因此，我建議你安裝Python 3.x，并使用該版本來安裝和運行Jupyter。 pip是Python的包管理工具，用于安裝和管理Pyt
2024年02月03日
瀏覽(16)
Docker部署Elasticsearch集群并開啟安全設置
部署了docker的centos 兩或者三臺服務器部署elasticsearch ip1、ip2 安裝ik分詞器將配置文件copy出來，放在到掛在路徑 elasticsearch.yml 替換好新的配置文件安全性處理：基于上述已經在運行的容器之上,在主機上執(zhí)行此運行方式即可獲取p12文件打開安全設置 elasticsearch.yml 開啟安全配
2024年02月09日
瀏覽(20)
nextcloud設置https nextcloud docker配置阿里云SSL證書實現HTTPS訪問親測方案
1、下載阿里云ssl證書，類型為：apache，得到三個文件兩個crt，一個key。 2、把文件夾更名為cert，文件名改為chain.crt,pubilc.crt,web.key。 3、把文件夾復制進nextcloud容器/etc/apache2文件夾中 4、進入容器執(zhí)行 5、修改ssl.load配置文件如果有下面這一句就不用修改了，沒有就添加上 6、
2024年02月13日
瀏覽(22)

<b id="orqgm"></b>