security - docker-machine(通用驱动程序)将 TCP 端口 2376 打开到 Internet 是否安全？

Question

我正在试验 Docker Machine，尝试使用 docker-machine create --driver generic 在现有机器上设置它。我注意到它重新配置了防火墙，以便端口 2376 对 Internet 开放。它是否也设置了适当的身份验证，或者是否存在我将 root 访问权限作为副作用暴露给这台机器的风险？

Answer 1

默认情况下，docker-machine 配置双向 TLS (mTLS) 来加密通信，并验证客户端证书以限制访问。来自docker-machine documentation :

As part of the process of creation, Docker Machine installs Docker and configures it with some sensible defaults. For instance, it allows connection from the outside world over TCP with TLS-based encryption and defaults to AUFS as the storage driver when available.

您应该看到 docker-machine 为 DOCKER_HOST 和 DOCKER_TLS_VERIFY 配置的环境变量指向远程主机并使用 mTLS 证书。通常，端口 2375 是一个不应该使用的未加密和不安全的端口，并且 2376 至少配置了 TLS，最好是 mTLS(没有相互验证客户端的部分，安全性是不存在的)。有关如何配置它的更多详细信息，请参阅 https://docs.docker.com/engine/security/https/

综上所述，带有 mTLS 的 docker 的安全性与 SSH 大致相同，只允许 key 对登录。考虑到它授予主机的访问权限，尽管相当安全，但我个人不会将其中任何一个暴露在互联网上。如果可能，我会使用 IP 白名单、VPN 或其他措施来限制访问。但许多人可能觉得让这些端口暴露在外相对安全。