intelecy/ztsc

ztsc

ZeroTier + Caddy 边车容器

!https://img.shields.io/github/workflow/status/intelecy/ztsc/Docker%20Image%20CI https://img.shields.io/docker/image-size/intelecy/ztsc/latest](https://hub.docker.com/r/intelecy/ztsc)

概述

简而言之： 快速安全地访问需要远程访问的临时应用。
ztsc 是基于ZeroTier和Caddy的边车容器，用于在Nomad/Kubernetes等平台暴露服务，填补临时应用从本地运行到集群部署的网络访问空白，无需复杂基础设施配置。

示例：数据科学家的Streamlit应用可通过该容器在Nomad集群中部署，并向ZeroTier网络内的员工开放访问，无需新增负载均衡或***权限。

核心功能

1. ZeroTier组网：通过虚拟局域网实现跨设备/集群的安全访问
2. Caddy反向代理：支持自动TLS、HTTP认证、负载均衡等增强功能
3. 边车模式：与应用容器协同运行，简化服务暴露流程

使用场景

• 内部临时共享数据科学应用（如Streamlit、Jupyter）
• 集群内服务的快速远程调试
• 无需公网IP的跨区域服务访问

配置说明

必要条件

1. ZeroTier网络ID
2. 预生成的ZeroTier身份文件（公钥+密钥）
3. Caddyfile配置

环境变量

Docker部署示例

bash
docker run --rm -it \
  --device /dev/net/tun \
  --cap-add NET_ADMIN --cap-add SYS_ADMIN \
  -e ZT_NETWORK_ID=0011223344556677 \
  -e ZT_IDENTITY_PUBLIC=your_public_key \
  -e ZT_IDENTITY_SECRET=your_secret_key \
  intelecy/ztsc:latest

集成示例

Docker Compose

yaml
version: "3.7"
services:
  ztsc:
    image: intelecy/ztsc:latest
    environment: [ZT_NETWORK_ID=0011223344556677]
    cap_add: [NET_ADMIN, SYS_ADMIN]
    devices: [/dev/net/tun]
    volumes:
      - ./identity.public:/var/lib/zerotier-one/identity.public:ro
      - ./identity.secret:/var/lib/zerotier-one/identity.secret:ro
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
  app:
    image: your_app_image

Nomad配置

hcl
job "ztsc-demo" {
  type = "service"
  group "demo" {
    task "zerotier" {
      driver = "docker"
      config {
        image = "intelecy/ztsc:latest"
        devices = [{host_path="/dev/net/tun", container_path="/dev/net/tun"}]
        cap_add = ["NET_ADMIN", "SYS_ADMIN"]
        volumes = ["Caddyfile:/etc/caddy/Caddyfile:ro"]
      }
      env {
        ZT_NETWORK_ID = "0011223344556677"
        ZT_IDENTITY_PUBLIC = "your_public_key"
        ZT_IDENTITY_SECRET = "your_secret_key"
      }
      template {
        data = <<EOF
http://
reverse_proxy {$NOMAD_ADDR_app_http}
EOF
        destination = "Caddyfile"
      }
      lifecycle {sidecar=true, hook="prestart"}
    }
    task "app" {
      resources {network {port "http"{}}}
    }
  }
}

Nomad客户端需允许权限：plugin "docker" {config {allow_caps = ["NET_ADMIN", "SYS_ADMIN"]}}

常见错误

• 缺少/dev/net/tun：错误提示"could not open TUN/TAP device"，需添加--device /dev/net/tun
• 缺少NET_ADMIN权限：错误提示"unable to configure TUN/TAP device"，需添加--cap-add NET_ADMIN
• 身份文件缺失：需确保公钥/密钥文件正确挂载或通过环境变量传递