tomcat - Docker 仅在 VM 上而不在物理机上？

Question

我在同一地点的数据中心有 2 台物理机器，我想充分利用它。我正在考虑使用 Docker、Weave 来运行高度安全的 Web 应用程序(Tomcat、Mysql、Mongodb)，并希望在安全方面格外小心。下面是我的架构。有docker部署经验的可以反馈一下吗？

a) 使用SSH 在两台物理机上创建一个centos 6 操作系统并安装Shorewall。 Shorewall FW 将仅限制 ssh 和端口 80,443，80,443 将转发到运行 tomcat 容器的虚拟机。该物理机上没有安装docker。

b) 在两台物理机上安装 Virtualbox 并启动多个虚拟机，每个虚拟机都可以通过物理机上的 SSH 隧道访问，从而提供额外的安全层

c) 在每个 VM 上构建 docker 和 weave 网络，因此在作为主机的 VM 上构建 weave 网络

d) 所有 tomcat、mysql、mongodb 容器仅在虚拟机上启动。

此配置的优点是我的物理机器和 Docker 是分开的，并增加了额外的安全层。

我正在计划构建它。我想知道是否有人预料到任何问题或挑战或建议以更安全/稳健的方式使用 2 个服务器。

非常感谢任何指导或进一步阅读的链接。

谢谢英国。

Answer 1

您的基础架构是一个好的开始，但仅仅是一个开始。

您需要正确配置这些应用程序以提高安全性(无论它们以何种方式或在何处运行，是否在 docker 容器中):例如，确保您的 header 响应不包含应用程序及其版本(有关更多信息，请参见 Apache Tomcat 8 Security considerations 或“Improving Apache Tomcat Security ”)

此外，docker 容器的问题是在这些容器中以 root 身份运行的进程和 make system calls directly to the kernel (默认没有范围限制，意味着允许所有系统调用)。
这就是 docker 1.9 开始用 PR 12648 (Phase 1 implementation of user namespaces as a remapped container root) 做的事情和 issue 15187

• 所有容器都有自己的用户命名空间(有效防止使用 --net=host 或 --net=container:<id>)。
• 守护程序范围内的设置重新映射 root所有容器的用户。