使用ssh在Docker容器间建立互信

前提

1 关闭防火墙

sudo systemctl stop firewalld.service       #停止firewall
sudo systemctl disable firewalld.service    #禁止firewall开机启动

2 更换下载源

3 安装Docker

1 自定义网络

由于容器的网络是在启动时由docker engine配置的，所以造成容器的IP地址不固定。

可以自定义网络使容器使用固定IP，并且重启后IP不会变，文件/etc/hosts 也不会被重置。

$docker network create --subnet=172.18.0.0/16 mynetwork
$docker network ls

2 构建基础镜像

运行centos镜像启动一个容器，安装依赖库和必要软件，提交新的镜像basepbs/centos

$docker run –it centos
$yum install -y openssh-clients
$yum install -y net-tools
$yum install -y vim
$yum install -y which
$exit
$docker commit  basepbs/centos

3 构建容器

3.1 创建三个容器

使用basepbs/centos镜像创建三个容器，分别指定镜像名称，hostname，添加/etc/hosts中的数据，指定自定义网络以及IP

容器名称	容器hostname	ip
pbs1	pbs1	172.18.0.3
pbs2	pbs2	172.18.0.4
pbs3	pbs3	172.18.0.5

$docker run -tid --name pbs1 -h pbs1 --add-host pbs1:172.18.0.3 --add-host pbs2:172.18.0.4 --add-host pbs3:172.18.0.5 --net=mynetwork --ip=172.18.0.3 basepbs/centos

$docker run -tid --name pbs2 -h pbs2 --add-host pbs1:172.18.0.3 --add-host pbs2:172.18.0.4 --add-host pbs3:172.18.0.5 --net=mynetwork --ip=172.18.0.4 basepbs/centos

$docker run -tid --name pbs3 -h pbs3 --add-host pbs1:172.18.0.3 --add-host pbs2:172.18.0.4 --add-host pbs3:172.18.0.5 --net=mynetwork --ip=172.18.0.5 basepbs/centos

3.2 修改SSH配置文件

pbs1配置

#执行如下命令
$yum install passwd openssl openssh-server
$/usr/sbin/sshd    
#报错文件不存在，执行以下命令
$ssh-****** -q -t rsa -b 2048 -f /etc/ssh/ssh_host_rsa_key -N ''
$ssh-****** -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -N ''
$ssh-****** -t dsa -f /etc/ssh/ssh_host_ed25519_key -N ''
#生成RSA随机图,修改 /etc/ssh/sshd_config 配置信息：
#UsePAM yes 改为 UsePAM no 
#UsePrivilegeSeparation sandbox 改为 UsePrivilegeSeparation no
#具体执行如下：
$sed -i "s/#UsePrivilegeSeparation.*/UsePrivilegeSeparation no/g" /etc/ssh/sshd_config
$sed -i "s/UsePAM.*/UsePAM no/g" /etc/ssh/sshd_config
#启动sshd
$/usr/sbin/sshd
#查看ssh服务是否启动成功
$ps -ef | grep ssh
#修改root密码
$passwd 
...
...

#生成密码对
$ssh-****** -t rsa
#查看生成的私钥idrsa和公钥idrsa.pub
$cd ~/.ssh/
#查看ssh服务是否启动成功
$ps -ef | grep ssh

pbs2配置

$ssh-****** -q -t rsa -b 2048 -f /etc/ssh/ssh_host_rsa_key -N ''
$ssh-****** -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -N ''
$ssh-****** -t dsa -f /etc/ssh/ssh_host_ed25519_key -N '' 
$sed -i "s/#UsePrivilegeSeparation.*/UsePrivilegeSeparation no/g" /etc/ssh/sshd_config
$sed -i "s/UsePAM.*/UsePAM no/g" /etc/ssh/sshd_config
$/usr/sbin/sshd
$ps -ef | grep ssh
$passwd 
$ssh-****** -t rsa
$cd ~/.ssh/
$ps -ef | grep ssh
$/usr/sbin/sshd
#将pbs2的公钥发送到pbs1上
$scp id_rsa.pub root@pbs1:~/.ssh/id_rsa.pub.pbs2

pbs3配置

$ssh-****** -q -t rsa -b 2048 -f /etc/ssh/ssh_host_rsa_key -N ''
$ssh-****** -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -N ''
$ssh-****** -t dsa -f /etc/ssh/ssh_host_ed25519_key -N '' 
$sed -i "s/#UsePrivilegeSeparation.*/UsePrivilegeSeparation no/g" /etc/ssh/sshd_config
$sed -i "s/UsePAM.*/UsePAM no/g" /etc/ssh/sshd_config
$/usr/sbin/sshd
$ps -ef | grep ssh
$passwd 
$ssh-****** -t rsa
$cd ~/.ssh/
$ps -ef | grep ssh
$/usr/sbin/sshd
#将pbs3的公钥发送到pbs1上
$scp id_rsa.pub root@pbs1:~/.ssh/id_rsa.pub.pbs3

3.3 生成authorized_keys

进入~/.ssh/,合并id_rsa.pub.*到authorized_keys中，然后再发送到pbs2、pbs3的~/.ssh/

$cd ~/.ssh/
$cat id_rsa.pub >> authorized_keys
$cat id_rsa.pub.pbs2 >> authorized_keys 
$cat id_rsa.pub.pbs3 >> authorized_keys
$scp authorized_keys root@pbs2:~/.ssh/
$scp authorized_keys root@pbs3:~/.ssh/

至此，配置ok！

4 截图

5 预留问题

在重启容器的时候ssh服务需要再次打开

$/usr/sbin/sshd
$ps -ef | grep ssh

参考资料

1 docker centos7 安装ssh具体步骤

2 如何建立SSH互信

3 Docker如何固定IP设置的方法

---

​ 2017/11/15-Boy