最近公司服务器被挖矿了，最后原因定位到docker的2375端口。
让我们来理一下，最开始发现docker中莫名其妙多了几个镜像和正在运行的容器，而且很吃CPU，且2375端口未设置ip访问规则，意思就是所有人都可以通过你的2375端口操作你的docekr,且用启动容器挂载宿主机文件夹，因为docker使用root权限启动的，所以所有人都可以通过你的2375端口以root用户控制你的宿主机。
下面讲一下我们的应对步骤：
1、修改docker的2375端口为另外的端口，这只是权宜之计。
?
1
$ vi /usr/lib/systemd/system/docker.service
重启docker:
?
1
2
$ systemctl daemon-reload
$ systemctl restart docker
2、给docker进行tls加密
?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
#!/bin/bash
mkdir -p /root/tls/pem
DOMAIN_HOST=`ifconfig eth0 | grep “inet” | awk { print $2} | sed -n 1p;1q`
#DOMAIN_HOST=`hostname` #选择域名方案最好
HOST=$DOMAIN_HOST
# 自定义信息
PASSWORD=”yourPassword”
COUNTRY=CN
PROVINCE=gd
CITY=gz
ORGANIZATION=dounine
GROUP=dg
NAME=lake
SUBJ=”/C=$COUNTRY/ST=$PROVINCE/L=$CITY/O=$ORGANIZATION/OU=$GROUP/CN=$HOST”
# 自定义信息
#============================================================================================
#此形式是自己给自己签发证书,自己就是CA机构,也可以交给第三方机构去签发
# 生成根证书RSA私钥,password作为私钥密码（身份证）
openssl genrsa -passout pass:$PASSWORD -aes256 -out /root/tls/pem/ca-key.pem 4096
# 2.用根证书RSA私钥生成自签名的根证书(营业执照)
openssl req -new -x509 -days 365 -passin pass:$PASSWORD -key /root/tls/pem/ca-key.pem -sha256 -subj $SUBJ -out /root/tls/pem/ca.pem
#============================================================================================
#给服务器签发证书
# 1.服务端生成自己的私钥
openssl genrsa -out /root/tls/pem/server-key.pem 4096
# 2.服务端生成证书(里面包含公钥与服务端信息)
openssl req -new -sha256 -key /root/tls/pem/server-key.pem -out /root/tls/pem/server.csr -subj “/CN=$DOMAIN_HOST”
# 3.通过什么形式与我进行连接,可设置多个IP地扯用逗号分隔
echo subjectAltName=IP:$DOMAIN_HOST,IP:0.0.0.0 > /tmp/extfile.cnf
# 4.权威机构对证书进行进行盖章生效
openssl x509 -passin pass:$PASSWORD -req -days 365 -sha256 -in /root/tls/pem/server.csr -CA /root/tls/pem/ca.pem -CAkey /root/tls/pem/ca-key.pem -CAcreateserial -out /root/tls/pem/server-cert.pem -extfile /tmp/extfile.cnf
#============================================================================================
#给客户端签发证书
openssl genrsa -out /root/tls/pem/client-key.pem 4096
openssl req -subj /CN=client -new -key /root/tls/pem/client-key.pem -out /root/tls/pem/client.csr
echo extendedKeyUsage = clientAuth > /tmp/extfile.cnf
openssl x509 -passin pass:$PASSWORD -req -days 365 -sha256 -in /root/tls/pem/client.csr -CA /root/tls/pem/ca.pem -CAkey /root/tls/pem/ca-key.pem -CAcreateserial -out /root/tls/pem/client-cert.pem -extfile /tmp/extfile.cnf
#============================================================================================
# 清理文件
rm -rf /root/tls/pem/ca-key.pem
rm -rf /root/tls/pem/{server,client}.csr
rm -rf /root/tls/pem/ca.srl
# 最终文件
# ca.pem == CA机构证书
# client-cert.pem == 客户端证书
# client-key.pem == 客户私钥
# server-cert.pem == 服务端证书
# server-key.pem == 服务端私钥
注意：
当DOMAIN_HOST设置成域名时，echo subjectAltName=IP:$DOMAIN_HOST,IP:0.0.0.0 > /tmp/extfile.cnf这段代码的$DOMAIN_HOST应该替换为你的服务器的公网ip echo subjectAltName=IP:$DOMAIN_HOST,IP:0.0.0.0 > /tmp/extfile.cnf中的IP:0.0.0.0表示所有ip都可以通过携带证书访问，虽然这里是设定了所有，但是不应该省略显示的定义自己服务器的公网ip。即为IP:$yourip,IP:0.0.0.0，而不是IP:0.0.0.0赋予该文件执行权限：
?
1
$ chmod +x tls.sh
执行该shell脚本后，会在/root/tls/pem目录下生成ca.pem、client-cert.pem、client-key.pem 、server-cert.pem、server-key.pem。
然后修改docker配置：
?
1
$ vim /usr/lib/systemd/system/docker.service
添加：
?
1
2
3
4
–tlsverify \
–tlscacert=/root/tls/pem/ca.pem \
–tlscert=/root/tls/pem/server-cert.pem \
–tlskey=/root/tls/pem/server-key.pem \
重启docker:
?
1
2
$ systemctl daemon-reload
$ systemctl restart docker
现在使用docker remote api进行连接：
无认证：
?
1
$ docker -H tcp://192.168.0.150:2376 version
会报错未认证。
携带认证方式：
?
1
docker –tlsverify –tlscacert=/root/tls/pem/ca.pem –tlscert=/root/tls/pem/client-cert.pem –tlskey=/root/tls/pem/client-key.pem -H tcp://192.168.0.150:2376 version
到此这篇关于docker remote api一键TLS加密的实现的文章就介绍到这了,更多相关docker remote api一键TLS加密内容请搜索服务器之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持服务器之家！
原文链接：https://blog.csdn.net/qq_37171817/article/details/108473228
声明： 猿站网有关资源均来自网络搜集与网友提供，任何涉及商业盈利目的的均不得使用，否则产生的一切后果将由您自己承担！ 本平台资源仅供个人学习交流、测试使用 所有内容请在下载后24小时内删除，制止非法恶意传播，不对任何下载或转载者造成的危害负任何法律责任！也请大家支持、购置正版！ 。本站一律禁止以任何方式发布或转载任何违法的相关信息访客发现请向站长举报，会员发帖仅代表会员个人观点，并不代表本站赞同其观点和对其真实性负责。本网站的资源部分来源于网络，如有侵权烦请发送邮件至：2697268773@qq.com进行处理。