Реестр Docker за обратным прокси-сервером с поддержкой TLS (Traefik) - Удаленная ошибка: неверный сертификат - PullRequest
Новая
       123

Реестр Docker за обратным прокси-сервером с поддержкой TLS (Traefik) - Удаленная ошибка: неверный сертификат

0 голосов
/ 01 июня 2018

Так что я делаю все, что Dockerized здесь.Traefik работает в контейнере, как и мой экземпляр реестра Docker.Я могу просто вытолкнуть / вытащить из реестра, если я нажму на mydomain.com:5000/myimage.

Проблема возникает, когда я пытаюсь пройти через 443, используя mydomain.com/myimage.У меня есть настройка обратного прокси-сервера Traefik, прослушивающая 443 на mydomain.com и перенаправляющая этот запрос внутренне на :5000 моего экземпляра реестра.

Когда я отправляю push / pull из URL-адреса Traefik, он зависает и ведет обратный отсчет в ожидании повторения цикла.Когда я просматриваю журналы реестра, каждый из них на самом деле видит, что экземпляр IS действительно связан с обратным прокси-сервером Traefik, однако я снова и снова получаю эту ошибку в журнале (при каждой повторной попытке на стороне клиента):

2018/05/31 21:10:43 http: TLS handshake error from proxy_container_ip:port: remote error: tls: bad certificate

Реестр Docker очень жесткий и строгий, когда дело доходит до проблемы TLS.Я использую все самозаверяющие сертификаты здесь, так как я все еще в разработке. Есть идеи, что является причиной этой ошибки? Я предполагаю, что либо прокси-сервер Traefik обнаруживает, что сертификат, предлагаемый из реестра, не является доверенным (самоподписанным), и, следовательно, не завершает "push"запрос или наоборот - Реестр, отправляя ответ обратно через прокси-сервер Traefik, обнаруживает, что ему нельзя доверять.

При необходимости я могу предоставить дополнительную информацию.Текущая настройка заключается в том, что и Traefik, и Registry имеют собственный набор файлов .crt и .key.Оба (конечно) TLS включены.

Спасибо.

1 Ответ

0 голосов
/ 19 июля 2018

Вот рабочее решение с самозаверяющим сертификатом, которое вы можете попробовать на https://labs.play -with-docker.com

Сервер

Добавитьновый экземпляр node1 на вашей игровой площадке Docker.Мы настраиваем его как наш сервер.Создайте каталог для сертификатов: 

mkdir /root/certs

Создайте групповой сертификат *.domain.local: 

$ openssl req -newkey rsa:2048 -nodes -keyout /root/certs/domain.local.key -x509 -days 365 -out /root/certs/domain.local.crt
Generating a 2048 bit RSA private key
...........+++
...........+++
writing new private key to '/root/certs/domain.local.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) []:
State or Province Name (full name) []:
Locality Name (eg, city) []:
Organization Name (eg, company) []:
Organizational Unit Name (eg, section) []:
Common Name (eg, fully qualified host name) []:*.domain.local
Email Address []:

Создайте два файла docker-compose.yml и traefik.toml в каталоге /root.Вы можете скачать их, используя: 

wget https://gist.github.com/maiermic/cc9c9aab939f7ea791cff3d974725e4a/raw/8c5d787998d33c752f2ab369a9393905780d551c/docker-compose.yml
wget https://gist.github.com/maiermic/cc9c9aab939f7ea791cff3d974725e4a/raw/8c5d787998d33c752f2ab369a9393905780d551c/traefik.toml

docker-compose.yml 

version: '3'

services:
  frontproxy:
    image: traefik
    command: --api --docker --docker.swarmmode
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./certs:/etc/ssl:ro
      - ./traefik.toml:/etc/traefik/traefik.toml:ro
      - /var/run/docker.sock:/var/run/docker.sock # So that Traefik can listen to the Docker events
    deploy:
      labels:
        - traefik.port=8080
        - traefik.frontend.rule=Host:traefik.domain.local
  docker-registry:
    image: registry:2
    deploy:
      labels:
        - traefik.port=5000 # default port exposed by the registry
        - traefik.frontend.rule=Host:registry.domain.local
        - traefik.frontend.auth.basic=user:$$apr1$$9Cv/OMGj$$ZomWQzuQbL.3TRCS81A1g/ # user:password, see https://docs.traefik.io/configuration/backends/docker/#on-containers

traefik.toml 

defaultEntryPoints = ["http", "https"]

# Redirect HTTP to HTTPS and use certificate, see https://docs.traefik.io/configuration/entrypoints/
[entryPoints]
  [entryPoints.http]
  address = ":80"
    [entryPoints.http.redirect]
    entryPoint = "https"
  [entryPoints.https]
  address = ":443"
    [entryPoints.https.tls]
      [[entryPoints.https.tls.certificates]]
      certFile = "/etc/ssl/domain.local.crt"
      keyFile = "/etc/ssl/domain.local.key"

# Docker Swarm Mode Provider, see https://docs.traefik.io/configuration/backends/docker/#docker-swarm-mode
[docker]
endpoint = "tcp://127.0.0.1:2375"
domain = "docker.localhost"
watch = true
swarmMode = true

Инициализируйте Docker Swarm (замените <ip-of-node1> на IP-адрес node1, например 192.168.0.13): 

docker swarm init --advertise-addr <ip-of-node1>

Развертывание реестра traefik и Docker: 

docker stack deploy myregistry -c ~/docker-compose.yml

Клиент

Поскольку у нас нет DNS-сервера, мы меняем /etc/hosts (замените <ip-of-node1> на IP-адрес нашего сервера node1, например 192.168.0.13): 

echo "<ip-of-node1>   registry.domain.local traefik.domain.local" >> /etc/hosts

Теперь вы можете запрашивать состояние здоровья у traefik 

$ curl -ksS https://traefik.domain.local/health | jq .
{
  "pid": 1,
  "uptime": "1m37.501499911s",
  "uptime_sec": 97.501499911,
  "time": "2018-07-19 07:30:35.137546789 +0000 UTC m=+97.600568916",
  "unixtime": 1531985435,
  "status_code_count": {},
  "total_status_code_count": {},
  "count": 0,
  "total_count": 0,
  "total_response_time": "0s",
  "total_response_time_sec": 0,
  "average_response_time": "0s",
  "average_response_time_sec": 0
}

, и вы должны иметь возможность запрашивать все изображения (нет) из нашего реестра 

$ curl -ksS -u user:password https://registry.domain.local/v2/_catalog | jq .
{
  "repositories": []
}

Давайте настроим docker на нашем клиенте.Создайте каталог для сертификатов реестра: 

mkdir -p /etc/docker/certs.d/registry.domain.local/

Получите сертификат с нашего сервера: 

scp root@registry.domain.local:/root/certs/domain.local.crt /etc/docker/certs.d/registry.domain.local/ca.crt # Are you sure you want to continue connecting (yes/no)? yes

Теперь вы сможете войти в наш реестр и добавить изображение: 

docker login -u user -p password https://registry.domain.local
docker pull hello-world:latest
docker tag hello-world:latest registry.domain.local/hello-world:latest
docker push registry.domain.local/hello-world:latest

Если после этого вы запрашиваете все изображения в нашем реестре, вы должны увидеть 

$ curl -ksS -u user:password https://registry.domain.local/v2/_catalog | jq .
{
  "repositories": [
    "hello-world"
  ]
}
...