Docker远程连接使用指南

Docker支持通过TCP端口进行远程连接，这允许你从其他机器管理Docker守护进程。以下是设置和使用Docker远程连接的方法：

1. 配置Docker守护进程以允许远程连接

在Linux系统上配置

1. 编辑Docker配置文件（通常位于/etc/docker/daemon.json）：

   sudo nano /etc/docker/daemon.json
   

2. 添加以下内容（如果文件已存在，请合并内容）：

   {
    "hosts": ["unix:///var/run/docker.sock", "tcp://0.0.0.0:2375"]
   }
   

• 2375是默认的非TLS端口
• 对于生产环境，建议使用TLS加密（端口2376）

3. 重新加载并重启Docker服务： bash sudo systemctl daemon-reload sudo systemctl restart docker

在Windows/macOS上配置

对于Docker Desktop： 1. 打开设置 2. 进入"General"选项卡 3. 勾选"Expose daemon on tcp://localhost:2375 without TLS"

2. 使用TLS加密（推荐用于生产环境）

1. 创建证书目录：

   mkdir -p ~/.docker/ca
   cd ~/.docker/ca
   

2. 生成CA私钥和公钥：

   openssl genrsa -aes256 -out ca-key.pem 4096
   openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
   

3. 创建服务器密钥和证书签名请求(CSR)：

   openssl genrsa -out server-key.pem 4096
   openssl req -subj "/CN=$(hostname)" -sha256 -new -key server-key.pem -out server.csr
   

4. 使用CA签署公钥：

   echo subjectAltName = DNS:$(hostname),IP:$(hostname -i),IP:127.0.0.1 >> extfile.cnf
   echo extendedKeyUsage = serverAuth >> extfile.cnf
   openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
    -CAcreateserial -out server-cert.pem -extfile extfile.cnf
   

5. 创建客户端密钥和证书：

   openssl genrsa -out key.pem 4096
   openssl req -subj '/CN=client' -new -key key.pem -out client.csr
   echo extendedKeyUsage = clientAuth > extfile-client.cnf
   openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
    -CAcreateserial -out cert.pem -extfile extfile-client.cnf
   

6. 修改Docker配置使用TLS：

   {
    "tls": true,
    "tlscacert": "/root/.docker/ca/ca.pem",
    "tlscert": "/root/.docker/ca/server-cert.pem",
    "tlskey": "/root/.docker/ca/server-key.pem",
    "hosts": ["tcp://0.0.0.0:2376"]
   }
   

3. 从远程客户端连接

使用环境变量

export DOCKER_HOST=tcp://<服务器IP>:2375
# 如果使用TLS
export DOCKER_HOST=tcp://<服务器IP>:2376
export DOCKER_TLS_VERIFY=1
export DOCKER_CERT_PATH=~/.docker/ca/

使用命令行参数

docker -H tcp://<服务器IP>:2375 ps
# 如果使用TLS
docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://<服务器IP>:2376 ps

4. 安全性注意事项

1. 不要在生产环境中使用未加密的连接（2375端口）
2. 限制可以访问Docker API的IP地址
3. 考虑使用防火墙规则限制访问
4. 定期轮换证书

5. 常见问题解决

问题：连接被拒绝 - 确保Docker守护进程正在运行 - 检查防火墙设置是否阻止了端口 - 验证配置是否正确应用（可能需要完全重启Docker服务）

问题：TLS握手失败 - 确保证书路径正确 - 检查证书是否过期 - 验证客户端和服务器时间是否同步

通过以上步骤，你应该能够成功设置并使用Docker的远程连接功能。