18、Docker安全配置、网络机制与生产容器平台设计

Docker安全配置、网络机制与生产容器平台设计

1. Docker证书配置

在任何组织中实施Docker时，都需要谨慎操作，以确保其安全性并实现高效分发。以下是基本步骤：
1. 设置证书生成和签名方法 ：建立一套有效的证书生成和签名机制，保证证书的合法性和安全性。
2. 为服务器和客户端生成证书 ：分别为服务器和客户端生成对应的证书，用于后续的安全验证。
3. 配置Docker以要求证书 ：使用 --tlsverify 参数来配置Docker，使其在运行时要求使用证书进行安全验证。

Docker官方文档中包含了设置服务器和客户端以及简单证书颁发机构的详细说明。由于Docker是以特权模式运行的守护进程，并且可以直接控制应用程序，因此直接将Docker暴露在互联网上并不是一个好主意。如果需要从外部网络访问Docker主机，可以考虑使用VPN或通过SSH隧道连接到跳板主机。

2. Docker网络机制

2.1 网络请求流程

早期我们介绍了Docker容器与实际网络之间的网络层。下面详细了解其工作原理。假设网络中有一个客户端想要与运行在容器1内TCP端口80上的nginx服务器通信，请求将进入Docker服务器的eth0接口。由于Docker知道这是一个公共端口，它会启动一个docker - proxy实例来监听端口10520。请求会被传递给docker - proxy进程，然后该进程会向私有网络上的正确容器地址和端口发出请求。请求的返回流量也会通过相同的路径流动。