正文
Docker 使用了客户端 — 服务端模型。服务端对外提供 REST API。
默认安装方式，客户端和服务端在同一台主机上，通过本地安全 PIC Socket 进行通信，例如 Linux 中 /var/run/docker.sock。我们还可以配置它们通过网络进行通信。它们默认网络配置使用不安全的 HTTP Socket，端口为 2375。
在生产环境这是不能接受的。通过 TLS 的方式连接解决这个问题。生产环境中推荐这种配置，即使在可信内网中，也建议使用该方式！
Docker 为 TLS 提供两种模式
daemon 模式：Docker daemon 只接收认证客户端的请求。 客户端模式：Docker 客户端只接收认证的 daemon 发起的请求。同时使用它们，能提供最高的安全等级。
下面开始介绍如何完成 TLS 的配置，总体步骤如下。
创建 CA 。 为 daemon 创建密钥对。 为客户端创建密钥对。 分发密钥 Docker 配置 TLS 模式
创建 CA
在 node2 运行下面的命令。
为 CA 创建私钥（过程中需要设置密码）当前目录新增一个 ca-key.pem 文件，这是 CA 私钥。
用 CA 私钥生成公钥（过程需要输入之前的密码）当前目录新增一个 ca.pem 文件，这是 CA 公钥，也叫”证书“。
为 daemon 创建密钥对
在 node3 运行下面的命令。
为 daemon 创建私钥。当前目录新增一个 daemon-key.pem 文件，这是 daemon 节点的私钥。
创建证书签名请求并发送到 CA。当前目录新增一个 daemon.csr 文件，这是 CSR。
为证书添加属性。 创建文件，名为 extfile.cnf。示例中使用了 daemon 节点的 DNS 名称和 IP。每个人的环境中可能值不同。
此时，已经拥有一个可用 CA ，同时 daemon 的 Node3 节点也有了自己的密钥。
继续下面内容前，删除 CSR 和 extfile.cnf。
为客户端创建密钥对
在 node3 运行下面的命令。
为客户端创建密钥
当前目录新增一个 client-key.pem 文件。
创建 CSR。
当前目录新增一个 client.csr 文件。
创建 extfile.cnf 文件 将证书设置为客户端认证可用。文件内容如下。
生成证书 使用 CSR 文件、CA 密钥、extfile.cnf 文件完成签名和客户端证书配置。
删除 CSR 和 extfile.cnf ，因为不会用到它们了。 $ rm client.csr extfile.cnf
此时，在工作目录下应该有如下 7 个文件。
分发密钥
从 CA (刚才证书生成的 node) 复制 ca.pem、daemon-cert.pem、daemon-key.pem 到 node3（daemon 节点）。 从 CA (刚才证书生成的 node) 复制 ca.pem、client-cert.pem、client-key.pem 到 node1（客户端节点）。这里用 scp 完成复制操作。在 scp 的过程中对部分文件进行了重命名。重命名非常重要，因为 Docker 对文件命名有规范。
Docker 配置 TLS 模式
进入 Node3（daemon 节点）完成下面的配置。
找到 daemon.json 配置文件。在 Linux 上位于 /etc/docker，编辑 daemon.json 文件，添加如下行。
这些 daemon.json 中的参数意义如下。
tlsverify ：开启 TLS 认证。 tlscacert ：指定daemon可信任的 CA。 tlscert ：向 Docker 指定 daemon 证书的位置。 tlskey ：向 Docker 指定daemon私钥的位置。 hosts ：向 Docker 指定需要绑定 daemon 的具体 Socket。警告：部分版本的 Linux 系统运行 systemd 的，不允许在 daemon.json 中使用“hosts”选项。替换方案是在 systemd 配置文件中进行重写。创建名为 /etc/systemd/system/docker.service.d/override.conf 的新文件。在其中加入下列 3 行内容，然后保存。
重启 daemon 。
如果重启失败且错误为
docker.service: Main process exited, code=exited, status=1/FAILURE
为了让它工作，编辑 /lib/systemd/system/docker.service，修改如下内容之后再次尝试重启。
理论上，/etc/systemd/system/docker.service.d/override.conf 与 /etc/docker/daemon.json 可以同时修改，但是并不建议这么做，如果仅修改 /etc/docker/daemon.json 没有出现任何问题，那就太棒了。
进入 Docker 客户端节点，配置临时环境变量。
尝试运行 $ docker version，会出现错误，类似无法连接 daemon。接着设置另一个环境变量。
它是告知 Docker 客户端使用证书对全部命令进行签名，此时再试试 $ docker version！
恭喜。你成功完成了客户端与 daemon 完成安全的通信。
以上就是Docker开启远程连接并实现安全通信详解的详细内容，更多关于Docker远程连接安全通信的资料请关注服务器之家其它相关文章！
原文链接：https://juejin.cn/post/7120568388216160270
声明： 猿站网有关资源均来自网络搜集与网友提供，任何涉及商业盈利目的的均不得使用，否则产生的一切后果将由您自己承担！ 本平台资源仅供个人学习交流、测试使用 所有内容请在下载后24小时内删除，制止非法恶意传播，不对任何下载或转载者造成的危害负任何法律责任！也请大家支持、购置正版！ 。本站一律禁止以任何方式发布或转载任何违法的相关信息访客发现请向站长举报，会员发帖仅代表会员个人观点，并不代表本站赞同其观点和对其真实性负责。本网站的资源部分来源于网络，如有侵权烦请发送邮件至：2697268773@qq.com进行处理。