Docker

Navigation: Konfiguration > Dienste > Docker

Die Seite Docker konfiguriert die integrierte Docker-Container-Laufzeitumgebung auf der IRF1000. Docker ermöglicht es, eigene Anwendungs-Container direkt auf dem Gerät bereitzustellen und dessen Funktionalität über die eingebauten Firewall- und Routing-Funktionen hinaus zu erweitern. Diese Seite steuert die Aktivierung des Docker-Dienstes, den TLS-gesicherten Fernzugriff auf den Docker-CLI-Socket, Registry-Vertrauenseinstellungen, Netzwerk-Proxy-Konfiguration und den Peripheriezugriff für Container. Die Zugriffstabelle Docker CLI Socket Netzwerkzugriff am Ende der Seite bestimmt, auf welchen Schnittstellen der Docker-TCP-Socket für die Fernverwaltung erreichbar ist. Verwenden Sie die Seite Paketfilter, um zusätzliche Zugriffsbeschränkungen zu definieren. Die Docker-Netzwerkschnittstelle selbst wird auf der Seite IP-Konfiguration konfiguriert.

Einstellungen

Docker

Aktivieren

Aktiviert den Docker-Container-Dienst auf dem Gerät. Bei Aktivierung können eigene Docker-Container auf der IRF1000 geladen und ausgeführt werden. Bei Deaktivierung wird der Docker-Daemon gestoppt und es können keine Container ausgeführt werden.

Sicherheit und Zugriffskontrolle

Bind to socket

Konfiguriert die Docker-Variable hosts im Format IP-Adresse:Port. Dies definiert den TCP-Socket, auf dem der Docker-Daemon auf Remote-CLI-Verbindungen wartet. Eine IP-Adresse von 0.0.0.0 macht den Socket auf allen Netzwerkschnittstellen verfügbar. Um den Fernzugriff einzuschränken, geben Sie stattdessen eine lokale IP-Adresse des Gerätes an.

Require TLS

Aktiviert TLS-Verschlüsselung und -Authentifizierung für den Fernzugriff auf den Docker-CLI-Socket. Bei Aktivierung dürfen sich nur Clients verbinden, die ein gültiges, von der konfigurierten CA signiertes Zertifikat vorlegen. Es wird dringend empfohlen, diese Option zu aktivieren, sobald der Docker-Socket für die Fernverwaltung freigegeben wird.

TLS CA cert

Wählt das CA-Zertifikat für den Docker-CLI-TCP-Socket-Server. Nur Clients mit Zertifikaten dieser CA dürfen sich verbinden. Zertifikate werden auf der Seite Zertifikate verwaltet.

TLS server cert

Wählt das Serverzertifikat für den Docker-CLI-TCP-Socket-Server für den Fernzugriff. Dieses Zertifikat wird Clients beim TLS-Handshake präsentiert. Zertifikate werden auf der Seite Zertifikate verwaltet.

Docker Registry Sicherheit

hub.docker.com CA

Aktiviert die CA-Zertifikate, die das Laden von Container-Images vom öffentlichen hub.docker.com-Dienst ermöglichen. Deaktivieren Sie diese Option, wenn alle Pull-Operationen ausschließlich auf eigene private Docker-Registries beschränkt werden sollen.

Insecure registries

Konfiguriert die Docker-Variable insecure-registries. Diese erlaubt dem Gerät die Kommunikation mit einer privaten Docker-Registry ohne TLS-Verschlüsselung. Geben Sie die Registry-Adresse im Format host:port ein. Diese Einstellung ist ausschließlich für Testumgebungen vorgesehen.

Docker Netzwerk

Use HTTP Proxy

Aktiviert den systemweiten HTTP-Proxy für den Docker-Daemon. Bei Aktivierung leitet der Docker-Daemon die gesamte Kommunikation über den auf der Seite HTTP-Proxy konfigurierten Proxy-Server. NTLM-Authentifizierung wird nicht unterstützt.

Docker Peripherie

Zugriff auf RS485

Gewährt Docker-Containern Zugriff auf die integrierte RS-485-Schnittstelle. Aktivieren Sie diese Option, wenn Container mit seriellen Feldgeräten wie Modbus-RTU-Slaves kommunizieren müssen, die an der RS-485-Schnittstelle angeschlossen sind.

Docker CLI Socket Netzwerkzugriff

Die Zugriffstabelle steuert, auf welchen Netzwerkschnittstellen der Docker-CLI-TCP-Socket Remote-Verbindungen annimmt. Jede Schnittstelle kann über ein eigenes Kontrollkästchen unabhängig aktiviert oder deaktiviert werden.

LAN: Erlaubt Docker-CLI-Zugriff aus dem lokalen Netzwerk.

WAN: Erlaubt Docker-CLI-Zugriff aus dem Wide Area Network.

BLX-VPN: Erlaubt Docker-CLI-Zugriff über einen Big-LinX-VPN-Tunnel.

DOCKER: Erlaubt Docker-CLI-Zugriff aus anderen Docker-Containern.

WWAN: Erlaubt Docker-CLI-Zugriff über die WWAN-Schnittstelle.

ACHTUNG

Die Aktivierung des Docker-CLI-Sockets ohne TLS gibt den Docker-Daemon für unauthentifizierte Fernsteuerung frei. Jeder Client, der den konfigurierten Socket erreichen kann, kann Container starten, stoppen und verändern und potenziell vollen Zugriff auf das Gerät erlangen. Aktivieren Sie stets Require TLS und konfigurieren Sie geeignete CA- und Serverzertifikate, bevor Sie den Docker-Socket in einem Netzwerk freigeben. Verwenden Sie keine Insecure Registries in Produktionsumgebungen -- unverschlüsselte Registry-Kommunikation ermöglicht die Manipulation von Images und das Abfangen von Anmeldedaten.

Sicherheit

Beschränken Sie den Docker-CLI-Socket-Zugriff auf die minimal erforderlichen Schnittstellen über die Netzwerk-Zugriffstabelle und den Paketfilter. Vermeiden Sie in sicherheitskritischen Umgebungen die Bindung des Sockets an 0.0.0.0 und geben Sie stattdessen nur die lokale IP-Adresse der für die Verwaltung benötigten Schnittstelle an. Deaktivieren Sie die hub.docker.com CA, wenn Container ausschließlich aus vertrauenswürdigen, eigenen privaten Registries bezogen werden sollen. Deaktivieren Sie den RS-485-Peripheriezugriff, sofern Container nicht ausdrücklich serielle Kommunikation benötigen, um die physische Schnittstelle nicht unnötig freizugeben. Überprüfen Sie bereitgestellte Container regelmäßig und entfernen Sie nicht mehr benötigte, um die Angriffsfläche zu minimieren.