如何在CentOS Overlay中使用TLS加密

在CentOS Overlay網絡中使用TLS加密可以確保容器間通信的安全性。以下是實現這一目標的步驟：

1. 生成TLS證書和密鑰

首先，你需要生成用于TLS加密的證書和密鑰?？梢允褂肙penSSL來生成這些文件。

# 創建CA目錄
mkdir -p /etc/docker/certs.d/tls-ca

# 生成CA私鑰
openssl genrsa -out /etc/docker/certs.d/tls-ca/ca-key.pem 4096

# 生成CA證書
openssl req -new -x509 -days 365 -key /etc/docker/certs.d/tls-ca/ca-key.pem -out /etc/docker/certs.d/tls-ca/ca-cert.pem -subj "/CN=tls-ca"

# 生成服務器私鑰
openssl genrsa -out /etc/docker/certs.d/tls-ca/server-key.pem 4096

# 生成服務器證書簽名請求（CSR）
openssl req -new -key /etc/docker/certs.d/tls-ca/server-key.pem -out /etc/docker/certs.d/tls-ca/server-csr.pem -subj "/CN=server"

# 使用CA證書簽名服務器CSR
openssl x509 -req -in /etc/docker/certs.d/tls-ca/server-csr.pem -CA /etc/docker/certs.d/tls-ca/ca-cert.pem -CAkey /etc/docker/certs.d/tls-ca/ca-key.pem -CAcreateserial -out /etc/docker/certs.d/tls-ca/server-cert.pem -days 365

# 生成客戶端私鑰
openssl genrsa -out /etc/docker/certs.d/tls-ca/client-key.pem 4096

# 生成客戶端證書簽名請求（CSR）
openssl req -new -key /etc/docker/certs.d/tls-ca/client-key.pem -out /etc/docker/certs.d/tls-ca/client-csr.pem -subj "/CN=client"

# 使用CA證書簽名客戶端CSR
openssl x509 -req -in /etc/docker/certs.d/tls-ca/client-csr.pem -CA /etc/docker/certs.d/tls-ca/ca-cert.pem -CAkey /etc/docker/certs.d/tls-ca/ca-key.pem -CAcreateserial -out /etc/docker/certs.d/tls-ca/client-cert.pem -days 365

2. 配置Docker守護進程

編輯Docker守護進程的配置文件 /etc/docker/daemon.json，添加TLS相關的配置。

{
  "tls": true,
  "tlscacert": "/etc/docker/certs.d/tls-ca/ca-cert.pem",
  "tlscert": "/etc/docker/certs.d/tls-ca/server-cert.pem",
  "tlskey": "/etc/docker/certs.d/tls-ca/server-key.pem",
  "hosts": ["unix:///var/run/docker.sock", "tcp://0.0.0.0:2376"]
}

然后重啟Docker守護進程：

sudo systemctl restart docker

3. 配置Docker客戶端

將生成的客戶端證書和密鑰復制到客戶端的Docker配置目錄中。

mkdir -p ~/.docker
cp /etc/docker/certs.d/tls-ca/client-cert.pem ~/.docker/
cp /etc/docker/certs.d/tls-ca/client-key.pem ~/.docker/

創建或編輯 ~/.docker/config.json 文件，添加TLS驗證配置：

{
  "tls": true,
  "tlsverify": true,
  "tlscacert": "/etc/docker/certs.d/tls-ca/ca-cert.pem",
  "tlscert": "/etc/docker/certs.d/tls-ca/client-cert.pem",
  "tlskey": "/etc/docker/certs.d/tls-ca/client-key.pem"
}

4. 測試TLS連接

使用 docker 命令行工具測試TLS連接。

docker info

如果配置正確，你應該能夠看到Docker守護進程的信息，并且連接是通過TLS加密的。

5. 配置Overlay網絡

創建一個使用TLS加密的Overlay網絡。

docker network create \
  --driver overlay \
  --opt encrypted=true \
  --opt tlsverify=true \
  --opt tlscacert=/etc/docker/certs.d/tls-ca/ca-cert.pem \
  --opt tlscert=/etc/docker/certs.d/tls-ca/client-cert.pem \
  --opt tlskey=/etc/docker/certs.d/tls-ca/client-key.pem \
  my-secure-overlay-network

6. 連接容器到Overlay網絡

將容器連接到這個安全的Overlay網絡。

docker run -d --network my-secure-overlay-network --name my-container my-image

通過以上步驟，你可以在CentOS Overlay網絡中使用TLS加密來確保容器間通信的安全性。