耿雨飞的个人博客

[[ slide_text ]]

[[ item.c ]]

Docker 开启TLS和CA认证

发布时间：2023-08-16 作者：gengyufei 来源：gengyufei个人博客

CA自签名证书 openSSL

Docker 开启TLS和CA认证, 解决暴露2375端口引发的安全漏洞
# 创建ca认证证书
## 生成证书脚本
> 注意：为便于记录，执行脚本期间所有需要输入的密码，均设置为 admin

```
#!/bin/bash 
set -e
if [ -z $1 ];then
echo "服务器ip 示例192.168.1.1"
exit 0
fi

HOST=$1

########################## 模拟创建CA证书 ###########################################
# 生成 ca 私钥
openssl genrsa -aes256 -out CA-Key.pem 4096

# 生成 ca 根证书
openssl req -new -x509 -days 36500 -key CA-Key.pem -sha256 -out CA-cert.pem

########################## 签发服务器端证书 ###########################################
# 生成 服务端私钥
openssl genrsa -out server-key.pem 4096

# 生成 服务端申请文件 (服务器端CSRserver.csr，该文件作为向授权机构申请签发子证书的申请文件)
openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr

# 配置白名单，推荐配置0.0.0.0，允许所有IP连接但只有证书才可以连接成功
echo subjectAltName = DNS:$HOST,IP:$HOST,IP:0.0.0.0,IP:127.0.0.1 > extfile.cnf

# 生成 服务端证书
openssl x509 -req -days 36500 -sha256 -in server.csr -CA CA-cert.pem -CAkey CA-Key.pem -CAcreateserial -out server-cert.pem -extfile extfile.cnf

########################## 签发客户端证书 ###########################################
# 生成 客户端私钥key.pem
openssl genrsa -out client-key.pem 4096

# 生成 客户端CSRclient.csr，该文件作为向授权机构申请签发子证书的申请文件
openssl req -subj '/CN=client' -new -key client-key.pem -out client.csr

# 模拟授权机构创建配置文件，clientAuth 表示客户端证书
echo extendedKeyUsage = clientAuth > extfile.cnf

# 生成 客户端证书cert.pem
openssl x509 -req -days 36500 -sha256 -in client.csr -CA CA-cert.pem -CAkey CA-Key.pem -CAcreateserial -out client-cert.pem -extfile extfile.cnf

# 清理 申请文件
rm -v client.csr server.csr

# 更改 文件属性
chmod -v 0400 CA-Key.pem client-key.pem server-key.pem
chmod -v 0444 CA-cert.pem server-cert.pem client-cert.pem
```

上一篇：Docker python docker sdk 使用下一篇：QEMU 创建arm64-kylin Linux系统

你觉得文章怎么样