CentOS如何配置Overlay安全

在CentOS系统中配置Overlay网络的安全性，可以遵循以下步骤：

1. 安装必要的软件包

首先，确保你的CentOS系统已经安装了Docker和相关的工具。你可以使用以下命令来安装它们：

sudo yum install -y docker docker-compose

2. 配置Docker守护进程

编辑Docker的守护进程配置文件 /etc/docker/daemon.json，添加Overlay网络的相关配置。例如：

{
  "storage-driver": "overlay2",
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  },
  "insecure-registries" : ["myregistry.example.com:5000"],
  "registry-mirrors": ["https://mirror.example.com"]
}

3. 重启Docker服务

保存并关闭配置文件后，重启Docker服务以应用更改：

sudo systemctl restart docker

4. 创建安全的Overlay网络

使用Docker Compose或Docker命令行工具创建一个安全的Overlay网络。以下是使用Docker Compose的示例：

创建 docker-compose.yml 文件

version: '3.8'
services:
  app:
    image: myapp:latest
    networks:
      - secure-overlay

networks:
  secure-overlay:
    driver: overlay
    driver_opts:
      encrypted: true
      internal: false
      attachable: true
      labels:
        com.docker.network.secure: "true"

启动服务

docker-compose up -d

5. 配置防火墙

确保你的防火墙配置允许Docker网络通信。你可以使用 firewalld 或 iptables 来配置防火墙规则。

使用 firewalld

sudo firewall-cmd --permanent --zone=trusted --add-interface=docker0
sudo firewall-cmd --reload

使用 iptables

sudo iptables -A INPUT -i docker0 -j ACCEPT
sudo iptables -A OUTPUT -o docker0 -j ACCEPT

6. 使用TLS加密Docker通信

为了进一步提高安全性，可以使用TLS加密Docker守护进程和客户端之间的通信。

生成TLS证书

mkdir -p /etc/docker/certs.d/myregistry.example.com:5000
cd /etc/docker/certs.d/myregistry.example.com:5000

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem -subj "/CN=myregistry.example.com"

openssl genrsa -out server-key.pem 4096
openssl req -subj '/CN=myregistry.example.com' -sha256 -new -key server-key.pem -out server.csr

echo subjectAltName = DNS:myregistry.example.com,IP:192.168.1.100 >> extfile.cnf
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -extfile extfile.cnf

openssl genrsa -out key.pem 4096
openssl req -subj '/CN=client' -new -key key.pem -out client.csr

echo extendedKeyUsage = clientAuth >> extfile.cnf
openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf

配置Docker守护进程

编辑 /etc/docker/daemon.json 文件，添加TLS配置：

{
  "tls": true,
  "tlscacert": "/etc/docker/certs.d/myregistry.example.com:5000/ca.pem",
  "tlscert": "/etc/docker/certs.d/myregistry.example.com:5000/server-cert.pem",
  "tlskey": "/etc/docker/certs.d/myregistry.example.com:5000/server-key.pem",
  "insecure-registries" : []
}

重启Docker服务

sudo systemctl restart docker

7. 验证配置

最后，验证你的Overlay网络是否配置正确并且安全。你可以使用以下命令检查Docker网络和容器状态：

docker network ls
docker ps

通过以上步骤，你可以在CentOS系统上配置一个安全的Overlay网络。