Docker 守护进程监听 tcp 端口怎么安全加固？

Docker 守护进程监听 TCP 端口最安全的做法是默认不开放，若必须开放则强制启用 TLS 双向认证并限制访问 IP。生产环境严禁直接暴露未加密的 2375 端口到公网或不可信内网。

先说结论：Docker 远程 TCP 监听必须配合 TLS 加密与网络访问控制，否则等同于将服务器 Root 权限暴露在网络上。

先判断：确认业务是否真的需要 TCP 远程访问，多数场景可通过 SSH 隧道或本地 Socket 替代。
优先做：配置 TLS 证书双向认证与防火墙 IP 白名单限制，禁止使用明文 2375 端口。
再验证：测试远程连接是否强制加密且未授权访问被拦截，确保 CI/CD 流水线适配新配置。

命令速用版

# 1. 检查当前监听状态
sudo netstat -tulnp | grep dockerd

# 2. 编辑 systemd 配置（移除不安全参数）
sudo vim /usr/lib/systemd/system/docker.service
# 确保 ExecStart 不包含 -H tcp://0.0.0.0:2375

# 3. 重载配置并重启
sudo systemctl daemon-reload
sudo systemctl restart docker

为什么会这样

Docker Remote API 默认设计为无身份验证机制，一旦监听 TCP 端口且未加密，任何网络可达的主机均可执行任意 Docker 命令。攻击者可通过创建容器挂载宿主机敏感目录（如/、/etc）直接获取服务器最高权限，该风险已被大量僵尸网络利用。

分步处理

第一步：关闭默认不安全监听
编辑 Docker systemd 配置文件，移除所有-H tcp://开头的参数，确保仅保留-H fd://或本地 Unix Socket。若必须远程访问，禁止绑定0.0.0.0。

第二步：启用 TLS 双向认证
在/etc/docker/daemon.json中配置 TLS 相关参数，包括tls、tlscacert、tlscert、tlskey及tlsverify设为 true。需生成 CA 证书、服务器证书和客户端证书。

第三步：配置防火墙策略
使用 iptables 或云厂商安全组，仅允许受信任的 IP 地址访问 Docker 监听端口（通常为 2376）。禁止将端口开放给 0.0.0.0/0。

第四步：更新客户端配置
远程管理工具（如 Jenkins、IDEA）需配置 CA 证书和客户端密钥，使用https://协议连接，不再使用明文 HTTP。

怎么验证是否生效

验证未授权访问被阻断：使用 curl 不带证书访问https://<IP>:2376/version，应返回证书错误或连接拒绝。
验证授权访问正常：使用 curl 带上`--cert`和`--key`参数访问，应正常返回 Docker 版本信息。
验证监听范围：再次运行netstat -tulnp | grep dockerd，确认端口未监听在 0.0.0.0 或已加密。

常见坑

0.0.0.0 绑定风险：配置时误将 TCP 监听绑定到 0.0.0.0，导致所有网卡包括公网 IP 均暴露接口。
CI/CD 流水线中断：开启 TLS 后，未更新构建机的 Docker Client 证书配置，导致构建任务失败。
证书权限错误：证书文件权限未设置为 root 读写，导致 Docker 守护进程启动失败或拒绝加载证书。

常见问题

2375 端口和 2376 端口有什么区别？

2375 端口是未加密的 HTTP 监听端口，2376 端口是启用 TLS 加密后的 HTTPS 监听端口，生产环境应仅使用 2376。

不开启 TCP 监听如何实现远程管理？

可通过 SSH 隧道转发本地 Docker Socket 到远程主机，或使用带有安全认证的代理工具，避免直接暴露 Docker 守护进程。

开启 TLS 后客户端连接报错怎么办？

检查客户端是否配置了正确的 CA 证书、客户端证书及密钥，且证书 CN 名称与服务器 IP 或域名匹配。

参考来源

Docker 2375 端口安全风险深度解析与加固实战指南
Docker TCP 远程连接如何安全配置？
避坑指南:Ubuntu Server 安装 Docker 时最容易忽略的 5 个安全设置
Docker 进程加固全面指南
Docker 安全配置十大最佳实践，智能 Agent 部署再无后顾之忧