docker - Docker Hub 访问的防火墙规则

Question

我希望在使用防火墙 ip 地址白名单的企业环境中实现 Docker。不幸的是，按域列入白名单不是一种选择。

是否有我需要打开以允许机器完全访问 Docker Hub 的所有 IP 地址(包括端口)的列表？

还想知道是否有任何推荐的策略来监控这些是否随时间发生变化，以便我可以确保防火墙规则得到更新？

Answer 1

您可以定期运行 dig 命令并解析出返回的 IP。这是一个挖掘结果

;; ANSWER SECTION:
hub.docker.com.     9   IN  CNAME   elb-default.us-east-1.aws.dckr.io.
elb-default.us-east-1.aws.dckr.io. 276 IN CNAME us-east-1-elbdefau-1nlhaqqbnj2z8-140214243.us-east-1.elb.amazonaws.com.
us-east-1-elbdefau-1nlhaqqbnj2z8-140214243.us-east-1.elb.amazonaws.com. 55 IN A 52.7.223.172
us-east-1-elbdefau-1nlhaqqbnj2z8-140214243.us-east-1.elb.amazonaws.com. 55 IN A 54.208.38.120
us-east-1-elbdefau-1nlhaqqbnj2z8-140214243.us-east-1.elb.amazonaws.com. 55 IN A 54.86.125.243

这向我表明 hub.docker.com 是指向 AWS Elastic Load Balancer 实例的 CNAME。不保证 ELB 始终具有相同的 IP，因此此解决方案绝对是一种 hack，但您可能会从中受益。

如果您的 IT 部门有严格的规则，您可能需要 Docker Trusted Registry ，这将允许您在自己的环境中部署私有(private)注册表，仅绑定(bind)到一个 IP，并通过防火墙规则锁定。