paullj1/socat_static

Static Socat 镜像文档

镜像概述

Static Socat是一个静态编译的跨平台socat二进制文件，支持OpenSSL加密功能。主要用途是安全转发网络连接，尤其适用于保护Docker socket等敏感服务的远程访问，通过加密通信提升连接安全性。

核心功能与特性

• 静态编译：跨平台运行，无需依赖系统库
• OpenSSL支持：提供TLS/SSL加密通信能力
• 轻量级：体积小，资源占用低
• 灵活转发：支持多种网络连接类型转发（如Unix socket与TCP端口间的转发）

使用场景

• 保护Docker socket的远程访问安全
• 安全转发Unix socket到TCP端口
• 跨平台环境下的网络连接代理
• 需要加密通信的网络转发场景

使用方法

前提条件

• 已安装Docker和docker-compose
• 具备生成SSL证书的能力（使用openssl工具）

生成SSL证书

首先生成客户端和服务器所需的证书、密钥及PEM文件，并创建Docker secrets：

bash
for FILENAME in client server; do
  openssl genrsa -out $FILENAME.key 1024
  openssl req -new -key $FILENAME.key -x509 -days 36500 -out $FILENAME.crt -batch -subj '/CN=*'
  cat $FILENAME.key $FILENAME.crt >$FILENAME.pem
  chmod 600 $FILENAME.key $FILENAME.pem
done

# 创建Docker secrets
cat server.crt | docker secret create SERVER_CRT -
cat server.pem | docker secret create SERVER_PEM -
cat client.crt | docker secret create CLIENT_CRT -
cat client.key | docker secret create CLIENT_KEY -

# 清理本地证书文件
rm server.* client.*

Docker Compose配置示例

创建docker-compose.yml文件，配置socat服务以保护Docker socket：

yaml
version: '3.8'

services:
  docker_socket:
    image: paullj1/socat_static:latest
    ports:
      - target: 2376
        published: 2376
        mode: host
    secrets:
      - CLIENT_CRT
      - SERVER_PEM
    deploy:
      mode: global
    volumes:
      - type: bind
        source: /var/run/docker.sock
        target: /docker.sock
    command: ["-d", "-d",
      "openssl-listen:2376,fork,reuseaddr,cert=/run/secrets/SERVER_PEM,cafile=/run/secrets/CLIENT_CRT",
      "unix-connect:/docker.sock"]

secrets:
  CLIENT_CRT:
    external: true
  SERVER_PEM:
    external: true

命令参数说明

• -d -d：后台运行模式
• openssl-listen:2376：在2376端口监听TLS连接
• fork：为每个连接创建子进程
• reuseaddr：允许端口重用
• cert=/run/secrets/SERVER_PEM：指定服务器证书和密钥
• cafile=/run/secrets/CLIENT_CRT：指定客户端CA证书（用于验证客户端）
• unix-connect:/docker.sock：连接到本地Docker socket

客户端配置

客户端需挂载相关secrets，并通过TLS验证访问远程Docker socket：

客户端docker-compose配置片段

yaml
secrets:
  - CLIENT_CRT
  - CLIENT_KEY
  - SERVER_CRT

secrets:
  CLIENT_CRT:
    external: true
  CLIENT_KEY:
    external: true
  SERVER_CRT:
    external: true

客户端访问命令

bash
docker --tlsverify --tlscacert=/run/secrets/SERVER_CRT \
  --tlscert=/run/secrets/CLIENT_CRT --tlskey=/run/secrets/CLIENT_KEY \
  -H=docker_socket:2376 version

此命令通过TLS加密连接到远程Docker socket并验证服务版本，确保通信安全。