Безопасно ли, чтобы TCP-порт 2376 был открыт с помощью докер-машины (универсального драйвера) для интернета?

Question

Я экспериментирую с Docker Machine, пытаюсь настроить его на уже существующей машине, используя docker-machine create --driver generic.Я заметил, что он перенастраивает брандмауэр так, чтобы порт 2376 был открыт для Интернета.Это также настраивает надлежащую аутентификацию, или есть риск, что я выставляю root-доступ к этой машине как побочный эффект?

Answer 1

По умолчанию docker-machine настраивает взаимный TLS (mTLS) для шифрования связи и проверки сертификата клиента для ограничения доступа.Из документации docker-machine :

В рамках процесса создания Docker Machine устанавливает Docker и настраивает его с некоторыми разумными значениями по умолчанию.Например, он разрешает соединение из внешнего мира через TCP с шифрованием на основе TLS и по умолчанию AUFS в качестве драйвера хранилища, когда он доступен.

Вы должны увидеть переменные среды, настроенные docker-machine для DOCKER_HOSTи DOCKER_TLS_VERIFY для указания на удаленный хост и использования сертификатов mTLS.Как правило, порт 2375 является незашифрованным и незащищенным портом, который никогда не должен использоваться, и 2376 настроен как минимум с TLS и, мы надеемся, mTLS (без взаимной части для проверки клиентов, безопасность не существует).Для получения более подробной информации о том, что требуется для настройки этого, см. https://docs.docker.com/engine/security/https/

. Все это говорит о том, что docker с mTLS примерно такой же безопасности, как и SSH, с разрешенными только входами в пару ключей.Учитывая доступ, который он предоставляет хосту, я лично не оставляю ни один из них доступным для интернета, хотя и достаточно безопасен.По возможности я использую белые списки IP, VPN или другие меры для ограничения доступа.Но многие могут чувствовать себя в безопасности, оставляя эти порты открытыми.

Answer 2

Если вы не используете сертификаты для защиты сокета, он подвержен атакам.Подробнее здесь .

В прошлом некоторые из моих тестовых экземпляров облачных систем были взломаны и превращены в майнеры биткойнов.В одном случае, поскольку на этом конкретном хосте были доступны ключи, злоумышленник мог использовать эти ключи для создания новых облачных экземпляров.