教你如何通过 SSH 连接到 Docker 容器

SSH 是系统管理员工具箱中最常用的命令之一，但它并不常见于 Docker。以下是如何通过 SSH 连接到正在运行的容器，以及为什么在这样做之前应该三思而后行。

你应该在 Docker 容器中使用 SSH 吗？

SSH 进入 Docker 容器通常是一种不好的做法，应该避免。docker exec使用命令在容器中获取 shell几乎总是更好。

Docker 新手可能会尝试使用 SSH 来更新容器内的文件。容器应该是一次性的，所以它们在创建后应该被视为不可变的，除了存储在卷中的持久数据。编辑源代码时创建新图像并重新启动容器。

除了多步骤配置过程之外，在 Docker 映像中安装 SSH 会添加几个依赖包并暴露另一个潜在的攻击向量。在具有多个活动容器的系统上，您将运行多个独立的 SSH 进程，并且必须记住每个容器的正确端口。

无需将 SSH 添加到单个容器，只需在运行 Docker 的物理主机上安装一次即可。使用 SSH 连接到您的主机，然后运行docker exec -it my-container bash以访问各个容器。

虽然docker exec是首选方法，但仍然存在 SSH 可能有用的场景。您可以将其作为权宜之计引入，以与遗留部署系统集成。它也可能被一些 IDE 和构建工具用于在开发期间提供实时重新加载功能。

在 Docker 容器中安装 SSH 服务器

大多数流行的 Docker 基础镜像都被有意简化了。您需要自己添加 OpenSSH 服务器，即使是从流行的操作系统发行版派生的图像。

Dockerfile这是基于 Debian 的映像的示例：

RUN apt-get update && apt-get install -y openssh-server RUN sed -i s/PermitRootLogin prohibit-password/PermitRootLogin yes/ /etc/ssh/sshd_config ENTRYPOINT service ssh start && bash

SSH 配置已修改，因此您可以root以 Docker 容器中的默认用户身份登录。为了提高安全性，请改为设置专用用户帐户：

RUN useradd -m -s /bin/bash sshuser

这将创建一个名为主sshuser目录 ( -m)的新用户。该-s开关将用户的默认登录 shell 设置为 Bash。

使用ENTRYPOINT确保 SSH 服务总是在容器启动时启动。然后将执行交给 Bash 作为容器的前台进程。您可以将其替换为您的应用程序的二进制文件。

配置身份验证

接下来，您需要设置身份验证系统。您可以为您的sshuser帐户分配一个密码并使用该密码登录：

RUN echo “sshuser:Changeme” | changepasswd

更安全的方法是设置 SSH 密钥身份验证。您需要在客户端计算机上创建一个密钥对，然后将公共部分复制到容器中。这样，SSH 守护程序可以在您连接时验证您机器的身份。

更改您为您的用户Dockerfile设置.ssh配置文件夹。使用docker cp命令或COPY. Dockerfile在后一种情况下，密钥将被烘焙到图像中，任何有权访问的人都可以看到。

COPY id_rsa.pub /home/sshuser/.ssh/authorized_keys RUN chown -R sshuser:sshuser /home/sshuser/.ssh RUN chmod 600 /home/sshuser/.ssh/authorized_keys

这一系列命令使用工作目录中的公钥创建 SSHauthorized_keys文件。id_rsa.pub调整文件系统权限以匹配 SSH 的要求。

连接到容器

现在您已准备好连接到您的容器。使用绑定到主机的端口 22 运行容器：

docker run -p 22:22 my-image:latest

运行ssh sshuser@example.com会给你一个容器内的外壳。

如果要从托管 Docker 容器的机器进行连接，则可以跳过绑定端口。用于docker inspect获取容器的 IP 地址，然后将其传递给 SSH 连接命令。

docker inspect <id-or-name> | grep IPAddress | head -n 1

使用您机器上的 SSH 客户端连接到容器：

ssh root@172.17.0.1 # OR ssh sshuser@172.17.0.1

如果您在主机上运行单独的 SSH 服务器，或者您有多个需要端口 22 的容器，则需要使用备用端口。以下是当 SSH 绑定到端口 2220 时启动连接的方法：

cker run -p 22:2220 my-image:latest ssh root@172.17.0.1 -p 2220

使用 SSH Config 设置容器快捷方式

您可以操作 SSH 配置文件以简化与各个容器的连接。编辑~/.ssh/config以定义具有预配置端口的速记主机：

Host my-container HostName 172.17.0.1 Port 2220 User sshuser

现在你可以ssh my-container直接跑到你的容器中了。这使得在不记住容器 IP 和端口的情况下处理多个连接变得更容易。

改用 Dockssh 简化容器管理

Dockssh项目通过提供另一个让您运行的守护进程更进一步ssh my-container@example.com，无需任何手动 SSH 配置。您不需要在容器中安装 SSH 服务器；Dockssh 自动代理 SSH 连接并运行正确的docker exec命令。

你必须先安装 Redis 来存储 Dockssh 的配置数据：

sudo apt install redis

接下来，通过添加带有容器名称和 SSH 连接密码的 Redis 记录来定义要公开的容器：

redis-cli set dockssh:my-container:pass “container-password-here”

然后下载 Dockssh：

sudo curl https://github.com/alash3al/dockssh/releases/download/v1.1.0/dockssh_linux_amd64 -O /usr/local/bin/dockssh sudo chmod +x /usr/local/bin/dockssh sudo ufw allow 22022 # Start DockSSH server dockssh

现在您可以连接到您的容器：

ssh my-container@example.com -p 22022

Dockssh 默认监听 22022 端口。打开防火墙以允许使用该端口的传入连接。

连接时，系统会提示您输入容器的密码。这是container-password-here在我们上面的 Redis 记录中设置的。

使用 Dockssh 可以轻松地通过 SSH 连接到大量 Docker 容器。当您定期从远程主机连接到您的容器时，这种方法是理想的，因为它将两步“SSH then docker exec”序列简化为一个令人难忘的命令。

将 Dockssh 注册为系统服务以供长期使用：

sudo nano /etc/systemd/system/dockssh.service [Unit] Description=Dockssh service After=network.target [Service] type=simple Restart=always RestartSec=1 User=root ExecStart=/usr/local/bin/dockssh [Install] WantedBy=multi-user.target

使用启用服务systemctl：

sudo systemctl enable dockssh.service sudo systemctl start dockssh

Dockssh 现在将在您的系统启动时自动启动。

概括

将 SSH 与 Docker 容器相结合被广泛认为是一种反模式，但它仍然在开发、测试和遗留环境中使用。如果没有其他选择，您可以将 SSH 服务器添加到容器中，复制公钥，然后通过容器的 IP 或主机端口绑定进行连接。

想要远程管理大量 Docker 容器的系统管理员可以试试 Dockssh。ssh它允许您通过无缝的幕后映射来运行熟悉的命令docker exec，使用未修改的图像为您提供两全其美的体验。