sjawhar/docker-socket-proxy

Docker Socket Secure Proxy

这是一个小型但功能强大的Docker镜像，通过socat将TCP请求安全代理到Docker守护进程套接字，处理服务器和客户端证书的双向认证，无需重新配置和重启Docker守护进程。该镜像设计为高度可配置，兼容单主机和Swarm模式的Docker环境。

默认使用2376端口，也可通过主机端口转发轻松配置为其他端口。镜像也可在不启用TLS的情况下运行（详见下文），但显然这会降低安全性。

欢迎提出评论、问题和PR。如果此镜像不能完全满足您的需求，请告知，我们或许可以共同改进！

包含内容

• Alpine 3.15
• Socat
• 仅此而已！

使用方法

1. 如果您还没有CA、服务器和客户端证书及密钥，可参考Docker文档中的说明生成。生成时，请确保使用客户端访问Docker主机时将使用的FQDN作为$HOST值。

2. 备份这些文件，然后选择以下任一方式：

   • 将ca.pem、server-cert.pem和server-key.pem放置在可挂载到容器的目录中。
   • 将这些文件作为secrets添加到Swarm中。

3. 运行容器！环境变量和其他命令详见下文，一般运行命令如下：

bash
docker run -d -p 2376:2376 \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v $HOST_CERTS_DIR:$CERTS_DIR:ro -e $CERTS_DIR \
    sjawhar/docker-socket-proxy

4. 将ca.pem、cert.pem和key.pem复制到客户端机器。

5. 对主机运行命令：

bash
docker -H tcp://$HOST:2376 --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem info

您也可以使用提供的docker-compose文件作为起点：

• https://github.com/sjawhar/docker-socket-proxy/blob/master/docker-compose.yml
• https://github.com/sjawhar/docker-socket-proxy/blob/master/docker-compose.swarm.yml

应用场景

• 测试时不希望因重新配置守护进程而弄乱Docker机器
• 需要轻松更改Docker套接字访问端口以增强安全性
• 偏好将所有组件都容器化的部署方式
• CI/CD构建代理在内部网络中安全部署到生产和 staging 环境（个人使用场景）

环境变量

• DOCKER_SOCKET：容器内Docker套接字的位置，默认为/var/run/docker.sock。
• CERTS_DIR：容器内包含证书的文件路径，默认为/run/secrets（为兼容Swarm secrets）。
• SERVER_CERT：CERTS_DIR中服务器证书文件的名称，默认为server-cert.pem。
• SERVER_KEY：CERTS_DIR中服务器密钥文件的名称，默认为server-key.pem。
• CA_FILE：CERTS_DIR中CA证书的名称，默认为ca.pem。
• LISTEN_PORT：socat监听的端口，默认为2376（通常无需修改，可通过主机端口转发更改）。
• LISTEN_SECURE：默认为true（启用TLS），设为false时禁用TLS并使用TCP-LISTEN。警告：若设置LISTEN_SECURE=false且入站流量可访问此容器，将显著增加安全风险。

额外命令

docker run中使用的任何命令都将作为socat的选项传递。可用于自定义详细程度（-ddd）、日志格式（-lmlocal2）、超时时间（-t 1000000）等。更多可用选项详见socat文档。