• Docker打开TCP管理端口
  • 1.开启TCP管理端口
    • 1.1. 创建目录/etc/systemd/system/docker.service.d
    • 1.2. 在这个目录下创建tcp.conf文件,增加以下内容，
      • Ubuntu专用版
      • Ubuntu和CentOS7 通用版
    • 1.3. Daemon重新reload ，并重启docker
    • 1.4. 查看端口是否打开
    • 1.5. CentOS7其他方法
  • 2. 关闭TCP管理端口

1.开启TCP管理端口

1.1. 创建目录/etc/systemd/system/docker.service.d

mkdir /etc/systemd/system/docker.service.d

1.2. 在这个目录下创建tcp.conf文件,增加以下内容，

Ubuntu专用版

cat > /etc/systemd/system/docker.service.d/tcp.conf <<EOF
[Service]
ExecStart=
ExecStart=/usr/bin/dockerd -H fd:// -H tcp://0.0.0.0:2375
Ubuntu和CentOS7 通用版
 
cat > /etc/systemd/system/docker.service.d/tcp.conf <<EOF
[Service]
ExecStart=
ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -H tcp://0.0.0.0:2375
上面两个版本的区别在于用何种方式指定Docker守护进程本地套接字监听
 
-H fd://                                    仅Ubuntu可用
-H unix:///var/run/docker.sock              CentOS和Ubuntu通用
 
1.3. Daemon重新reload ，并重启docker
 
systemctl daemon-reload
systemctl restart docker
 
1.4. 查看端口是否打开
 
ps aux |grep dockerd
netstat -an | grep 2375
 
1.5. CentOS7其他方法
 
CentOS7还可以通过修改/etc/sysconfig/docker文件中的 OPTIONS来达到同样的目的
 
OPTIONS='--selinux-enabled -H unix:///var/run/docker.sock -H tcp://0.0.0.0:2375'
 
2. 关闭TCP管理端口
 
rm  /etc/systemd/system/docker.service.d/tcp.conf -rf
systemctl daemon-reload
systemctl restart docker
ps aux |grep dockerd
                                    解决Windows10下无法对docker容器进行端口访问（端口映射的问题）
在Windows10系统服务器中安装了docker和docker-compose
并尝试在其中运行Nginx服务，映射也做好
问题：在主机的浏览器中，打开localhost:port无法访问对应的Web服务。
原因：docker是运行在Linux上的，在Windows中运行docker，实际上还是在Windows下先安装了一个Linux环境，然后在这个系统中运行的docker。
也就是说，服务中使用的localhost指的是这个Linux环境的地址，而不是我们的宿主环境Windows10。
默认安装的Docker服务不支持远程连接，开启TCP端口后可以进行远程连接Docker
CentOS Linux release 7.8.2003 (Core)
1.打开编辑：
vi /lib/systemd/system/docker.service
2.注释原有的：
#ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
3.添加新的：
ExecStart=/usr/bin/
宿主机(host)上修改iptables 规则，开放容器的响应端口；参考网上的命令
iptables -t nat -A DOCKER -p tcp -dport 8080 -j DNAT --to-destination 172.17.0.2:8080
当我们创建nginx镜像时，并且启动nginx时，我们只能在容器内部区访问n
[Service]
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix://var/run/docker.sock
重启docker操作
systemctl daemon-reload
systemctl restart docker
经过上述操作后外部仍然无法访问2375端口，这时就需要查
 一个简单的代理，它监视 boot2docker 虚拟机中的 Docker 主机，并在 localhost 为每个开放的公共端口创建一个代理。
 使用boot2docker时很不方便，您不能引用localhost，而是必须使用boot2docker VM的内部网络地址。
 这个工具使使用 boot2docker 更加方便。
使用标准的 go 构建过程： 
 $> go get github.com/joergm/b2dproxy
二进制文件现在将安装在$GOPATH/bin 。
您的 shell 环境应该设置为与 boot2docker 一起使用。 最快的方法是： 
 $> $(boot2docker shellinit)
可以使用以下方式启动代理： 
 $> b2dproxy
这将开始监视 Docker 并在您的本地主机上为每个公共端口打开一个代理
                                    Docker 逃逸在渗透测试中面向的场景大概是这样，渗透拿到shell后，发现主机是docker环境，要进一步渗透，就必须逃逸到“直接宿主机”。甚至还有物理机运行虚拟机，虚拟机运行Docker容器的情况。那就还要虚拟机逃逸了。
                                    Docker Engine提供RestFul API， Docker Cli通过Restful API和Docker Daemon进行交互，默认情况下，docker cli通过unix通道文件和Daemon进程进行交互，也可以通过docker cli里的--host参数指定，需要通信的Docker远端机器进行交互， --host参数指定，需要进行连接的Docker daemon的监听端口。默认情况下，Docker的socket tcp端口是没有打开的，只提供本地的unix的通道文件的通信方式。
                                    1.问题描述
docker下的oracle数据库服务存在漏洞，解决难度较高，于是通过firewalld限制高危端口开放，只允许本机访问。发现即使firewalld把oracle 1521漏洞不开放出去，但其他服务器依然能访问这给服务器的1521端口，也就是说firewalld配置的规则失效。
2.解决办法
docker配置文件中添加  “iptables”: false
[root@localhost ~]#  vi /etc/docker/daemon.json 
"data-root": "/op
打开编辑：vim /lib/systemd/system/docker.service
注释原有的：#ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock
添加新的：ExecStar