Docker Hub 访问的防火墙规则

Question

我希望在使用防火墙 IP 地址白名单的企业环境中实现 Docker。不幸的是，按域列入白名单不是一种选择。

是否有我需要打开以允许机器完全访问 Docker Hub 的所有 IP 地址（包括端口）的列表？

还想知道是否有任何推荐的策略来监控这些是否随时间发生变化，以便我可以确保防火墙规则得到更新？

Answer 1

您可以定期运行 dig 命令并解析出返回的 IP。这是一个挖掘结果

;; ANSWER SECTION:
hub.docker.com.     9   IN  CNAME   elb-default.us-east-1.aws.dckr.io.
elb-default.us-east-1.aws.dckr.io. 276 IN CNAME us-east-1-elbdefau-1nlhaqqbnj2z8-140214243.us-east-1.elb.amazonaws.com.
us-east-1-elbdefau-1nlhaqqbnj2z8-140214243.us-east-1.elb.amazonaws.com. 55 IN A 52.7.223.172
us-east-1-elbdefau-1nlhaqqbnj2z8-140214243.us-east-1.elb.amazonaws.com. 55 IN A 54.208.38.120
us-east-1-elbdefau-1nlhaqqbnj2z8-140214243.us-east-1.elb.amazonaws.com. 55 IN A 54.86.125.243

这表明 hub.docker.com 是一个指向 AWS Elastic Load Balancer 实例的 CNAME。不能保证 ELB 总是拥有相同的 IP，所以这个解决方案绝对是一个 hack，但你可能会从中获得一些好处。

如果您的 IT 部门具有限制性规则，您可能需要 Docker Trusted Registry，这将允许您在自己的环境中部署私有注册表，仅绑定一个 IP，并通过防火墙规则锁定。