Docker基础教程（220）Docker Api之开启socket：别再用SSH了！给Docker API开个“后门”，远程管理爽到飞起！

jxf_jxfcsdn

518人浏览 · 2025-09-24 08:07:29

jxf_jxfcsdn · 2025-09-24 08:07:29 发布

引言：从“跑腿小弟”到“遥控指挥官”

想象一下这个场景：你，一个优雅的开发者，正躺在沙滩椅上，沐浴着阳光，喝着冰镇饮料。突然，线上某个容器抽风了，服务告警短信嗡嗡作响。

传统的你：一个激灵爬起来，狼狈地找Wi-Fi，打开笔记本，SSH连上服务器，一顿docker ps, docker logs猛如虎……美好假期瞬间泡汤。

未来的你（看完本文后）：眯着眼，不慌不忙地掏出手机，点开一个自己开发的管理小工具，轻触屏幕，日志尽收眼底，轻松重启容器。然后继续享受你的饮料，深藏功与名。

这中间的魔法，就是Docker API。而今天，我们要做的，就是为这个魔法开启一扇“传送门”——Socket。

第一章：Docker API是何方神圣？它不是`docker`命令！

首先，让我们破除一个迷思。我们每天都在用的docker ps, docker run这些命令，其实是Docker CLI（命令行界面）。它只是一个“客户端”。而真正干活的“大佬”，是Docker Daemon（守护进程），一个常驻后台的服务。

Docker API，就是Docker Daemon对外暴露的一套RESTful接口。换句话说，CLI命令的本质，就是CLI去调用了本地的Docker API，然后Daemon负责执行。

所以，直接操作API，意味着你可以用任何能发送HTTP请求的语言（Python, Go, Java, JavaScript等）来与Docker对话，实现所有docker命令能做的事情，甚至更灵活、更自动化！

第二章：Socket——与Daemon大佬的“秘密通道”

Docker Daemon默认只监听一个本地的Unix Socket文件，通常位于/var/run/docker.sock。这就是为什么你直接在本机执行docker命令能成功的原因，CLI通过这个“内部通道”与Daemon沟通。

这个sock文件是个“本地户口”，只认本地的请求。要想远程调用，我们就得让Daemon大佬开放一个“网络端口”，也就是开启一个TCP Socket。

开启TCP Socket，就如同给Docker Daemon装了一个对讲机，允许网络上的其他机器（经过认证后）给它发号施令。

第三章：开启TCP Socket的“三重门”（实操警告！）

重要安全提示：开启TCP Socket相当于把Docker的控制权暴露在网络上。如果没有任何安全措施，就等于在你家服务器上挂了个牌子：“欢迎来我家挖矿！”。所以，务必配合TLS加密认证，我们稍后会讲。

方法一：修改Daemon配置文件（推荐，一劳永逸）

这是最标准、最持久的方法。

找到配置文件：通常位于 /etc/docker/daemon.json。如果不存在，就创建一个。

编辑配置：在文件中添加hosts配置项，指定监听的Socket。

{
  "hosts": ["unix:///var/run/docker.sock", "tcp://0.0.0.0:2375"]
}

- unix://...: 保留本地Socket连接。
- tcp://0.0.0.0:2375: 监听所有网络接口的2375端口（Docker默认API端口）。

解决冲突：很多系统的Docker服务启动命令已经包含了-H参数，这会和daemon.json中的hosts冲突。我们需要修改服务启动参数。

- 编辑 systemd 的 service 文件：sudo systemctl edit docker.service

在弹出的编辑器中，输入以下内容，覆盖默认的启动命令：

[Service]
ExecStart=
ExecStart=/usr/bin/dockerd

- 保存退出。

重启Docker服务：

sudo systemctl daemon-reload
sudo systemctl restart docker

验证：在另一台机器上运行 curl http://你的服务器IP:2375/version，如果返回一串JSON版本信息，恭喜你，成功了！

方法二：直接修改服务启动命令（临时、快捷）

直接修改Docker的启动脚本（例如 /lib/systemd/system/docker.service），找到ExecStart一行，加上 -H tcp://0.0.0.0:2375。

ExecStart=/usr/bin/dockerd -H fd:// -H tcp://0.0.0.0:2375

然后重启服务。这种方法简单，但容易被系统更新或重新配置覆盖，不推荐生产环境使用。

方法三：使用socat创建代理（保底绝招）

如果以上方法都行不通（比如你没有修改Daemon配置的权限），可以用socat这个“网络瑞士军刀”在本地做一个端口转发。

# 在Docker服务器上执行
socat TCP-LISTEN:2375,reuseaddr,fork UNIX-CONNECT:/var/run/docker.sock

这个命令会在2375端口监听，并将所有TCP请求转发到本地的Unix Socket。这只是一个临时方案，socat进程退出就失效了。

第四章：安全！安全！安全！TLS认证是“护身符”

直接使用tcp://0.0.0.0:2375是非常危险的！任何人只要知道你的IP，都可以管理你的Docker，比如运行一个恶意容器。

解决方案：TLS双向认证。这就像不仅需要门牌号（IP），还需要钥匙（客户端证书）和门禁卡（服务器证书）才能进门。

创建CA和证书：需要为服务器和客户端分别生成证书，并由同一个CA签名。过程稍复杂，Docker官方文档有详细步骤。核心是生成ca.pem, server-cert.pem, server-key.pem, client-cert.pem, client-key.pem。

配置Daemon：修改daemon.json，使用TLS模式。

{
  "hosts": ["unix:///var/run/docker.sock"],
  "tls": true,
  "tlscert": "/path/to/server-cert.pem",
  "tlskey": "/path/to/server-key.pem",
  "tlscacert": "/path/to/ca.pem"
}

同时，启动命令或hosts中的TCP地址应改为 tcp://0.0.0.0:2376（通常TLS使用2376端口）。

客户端连接：客户端连接时必须提供CA证书和客户端证书。

第五章：完整示例：用Python远程“玩弄”Docker

理论说再多，不如代码来得实在。下面我们用Python的docker库，演示如何远程管理容器。

环境准备：

服务器：已按上述方法一开启TCP Socket（为演示方便，此处使用未加密的2375端口，生产环境请务必使用TLS！）
客户端：一台有Python环境的电脑。

步骤：

安装Python Docker SDK：

pip install docker

编写Python脚本 (remote_docker.py)：

import docker
from pprint import pprint

# ！！！警告：此处为演示，直接使用未加密的HTTP连接！！！
# 生产环境必须使用TLS证书！！！
DOCKER_SERVER_URL = "http://你的服务器IP:2375"

def main():
    # 创建Docker客户端实例，连接到远程服务器
    client = docker.DockerClient(base_url=DOCKER_SERVER_URL)
    # 或者使用低阶API
    # client = docker.APIClient(base_url=DOCKER_SERVER_URL)

    print("=== 1. 获取Docker服务器信息 ===")
    info = client.info()
    pprint(info)

    print("\n=== 2. 列出所有运行中的容器 ===")
    containers = client.containers.list()
    for container in containers:
        print(f"- 容器ID: {container.short_id}, 镜像: {container.image.tags}, 状态: {container.status}")

    print("\n=== 3. 运行一个Nginx容器 ===")
    # 拉取镜像（如果本地没有）
    # client.images.pull('nginx:latest')
    # 运行容器
    container = client.containers.run(
        'nginx:latest',
        name='my-remote-nginx',
        ports={'80/tcp': 8080}, # 映射容器80端口到宿主机8080端口
        detach=True # 后台运行
    )
    print(f"已启动容器: {container.short_id}")

    print("\n=== 4. 查看新容器的日志（前100字符）===")
    logs = container.logs(tail=10)
    print(logs.decode('utf-8'))

    # 你可以继续尝试其他操作：
    # container.stop()  # 停止容器
    # container.remove() # 删除容器
    # client.images.list() # 列出镜像
    # ... 几乎所有docker命令都能找到对应的API！

if __name__ == "__main__":
    main()