标签：docker

一、问题场景

自动化规则测试环境，使用python2编写，依赖于redis-py-cluster，pykafka，futures，mysql-python。在本地搭建测试环境，python安装 没有出现问题，但是在安装python插件时，遇到问题较多，解决花费时间较长，且未能完全解决，导致测试环境迟迟不能运行。所以决定采用docker来 搭建测试环境。

二、搭建步骤

以下为搭建环境的步骤

1、安装docker环境不提

2、创建基本python环境，并安装插件

• 创建Dockerfile文件
• 在Dockerfile中输入如下代码 “` FROM centos:7 MAINTAINER Augustus “[email protected]”

RUN yum -y update RUN yum -y install epel-release RUN yum -y install python-pip RUN yum -y install mysql-devel RUN yum -y install python-devel RUN yum -y install MySQL-python RUN pip install –upgrade pip RUN pip install pykafka RUN pip install mysql RUN pip install redis-py-cluster RUN pip install futures

build 基本镜像，执行命令

docker build py_auto:v1 .

3、创建支持java命令环境

创建Dockerfile

mkdir v2 && cd v2 &&  vi Dockerfile ``` * 从oracle下载linux-jdk8到当前目录 * 在Dockerfile中输入如下命令 ``` FROM py_auto_base:v2 MAINTAINER Augustus "[email protected]"
ADD ./jdk-8u151-linux-x64.rpm /opt/ RUN rpm -ivh /opt/jdk-8u151-linux-x64.rpm RUN rm -f /opt/jdk-8u151-linux-x64.rpm

执行如下命令

docker build py_auto:v2 .

4、创建测试环境

在项目目录下创建Dockerfile

在Dickerfile中输入如下命令

FROM py_auto_base:v2 MAINTAINER Augustus “[email protected]”

RUN mkdir /py_auto VOLUME [“/py_auto”]

CMD [“/bin/bash”]

运行命令

docker build auto_test:v1 .

三、运行并执行测试

如果上面一切顺利，那我们这边已经成功构建了auto_test:v1镜像。下面我们来启动镜像并运行测试环境。

启动镜像

docker run -v /Users/augustus/asiawork/pytest/py-autotest-frame:/py_auto –name auto_test -d -it auto_test:v1

运行测试

docker exec auto_test python /py_auto/pyautotestframe/pyautotestframe.py -m sample-test

这样成功运行了测试实例。

四、一点心得

采用docker，快速的搭建了测试环境，在新增人员的情况下，可以节省不少时间在环境搭建上。就是对于开发 者也可以避免很多搭建环境的问题。

本示例采用的是每次一执行，所以使用docker exec,在有些情况下，需要启动镜像便运行环境的时候，可以 在Dockerfile中使用ENTRTPOINT来以使镜像启动便运行。

部署公司信息安全平台包含了乌云知识库、NESSUS、AWVS11、巡风资产扫描系统、CTFd、XSS平台，对巡风信息安全平台巡风、CTFd、漏洞靶机均采用docker运行，用到的命令记录下来。

0x01 在线安装docker

//Docker 安装
$ sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys 36A1D7869245C8950F966E92D8576A8BA88D21E9 
$ sudo bash -c "echo deb https://get.docker.io/ubuntu docker main > /etc/apt/sources.list.d/docker.list" 
sudo apt-get update 
sudo apt-get install lxc-docker 
sudo docker -v

0x02 拉取部署巡风

//巡风github 
https://github.com/ysrc/xunfeng/blob/master/docs/install/Docker.md

//拉取巡风Docker镜像
$ docker pull ysrc/xunfeng
//速度比较快
https://www.daocloud.io/mirror#accelerator-doc
//更新Docker镜像仓库地址到国内源
curl -sSL https://get.daocloud.io/daotools/set_mirror.sh | sh -s http://93cd7dbb.m.daocloud.io
拉取完后：
创建启动容器
docker run -d -p 8000:80 -v /opt/data:/data ysrc/xunfeng:latest

//巡风Docker 镜像信息
类型  用户名 密码
Web账号   admin   xunfeng321
mongodb 数据库 scan    scanlol66
mongodb 端口  27017   
巡风物理路径  /opt/xunfeng    
MASSCAN 路径  /opt/xunfeng/masscan/linux_64/masscan   

0x03 快速搭建各种漏洞环境

//拉取s2-052镜像：
docker pull medicean/vulapps:s_struts2_s2-052
//启动：
docker run -d -p 80:8080 medicean/vulapps:s_struts2_s2-052

//拉取dvwa镜像
docker pull vulnerables/web-dvwa
//启动
docker run --rm -it -p 8081:80 vulnerables/web-dvwa

0x04 启动信息安全中心容器

启动信息安全中心容器

docker run -itd -p80:80 20495bb5bcec /bin/bash
进入信息安全中心容器
docker exec -it b9fdbfa12be7 /bin/bash  进入容器打开一个sh
执行：
mysql启动
service mysqld start
apache启动
service httpd start
访问IP地址即可显示信息安全中心平台

启动巡风容器
docker run -itd -p8000:80 c91fd1a54b93 /bin/bash

0x04 docker基础命令

docker images  查看镜像
docker ps      查看正在运行的镜像
docker ps -a   显示所有的容器
docker rmi ID  停止一个容器后，删除这个镜像
docker info    查看docker信息
docker ps –l   显示最后一次创建的container，包括未运行的
docker pull ${IMAGE} 安装镜像
docker images --no-trunc 显示已经安装镜像的详细内容
docker stop ${CID} 停止指定容器
docker stop 
docker ps -q 停止所有正在运行的容器
docker rm ${CID} 删除指定容器
docker rm -f $(docker ps -a | grep Exit | awk '{ print $1 }') 删除所有退出的容器
docker rm $(docker ps -aq) 删除所有的容器
docker attach ${CID} 
进入容器docker exec -it ${CID} bash 进入容器打开一个shell
docker ps | grep wildfly | awk '{print $1}' 通过正则表达式查找容器的镜像ID
docker inspect ID 可以使用docker inspect来查看该容器的详细信息。
docker exec -it 775c7c9ee1e1 /bin/bash     使用docker exec进入运行Docker容器
docker commit [container-id] custom/centos_httpd 把所做的改变提交到一个新的容器：容器成功提交后，执行 docker images ，会看到刚才提交的容器
删除旧容器：
docker rm [container-id]
删除旧镜像：
docker rmi [image-id]
docker rmi [image-name][:image-tag]

0x05 docker打包迁移镜像

docker打包迁移镜像
[root@oegw1 soft]# docker save  8236fe4c8304 > /root/srcwww.img  
[root@oegw1 soft]# scp postgres.img 192.168.157.134:/opt/soft/  
Address 192.168.157.134 maps to localhost, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!  
[email protected]'s password:   
postgres.img                        
[root@oegw2 soft]# docker load < postgres.img  
[root@oegw2 soft]# docker images  
[root@oegw2 soft]# docker tag eb9a804ae885 postgres:postgres  
[root@oegw2 soft]# docker images

0x06 Docker镜像导入导出

导出容器快照到本地文件
$ sudo docker ps -a
$ sudo docker export 7691a814370e > ubuntu.tar
导入容器快照docker import
从容器快照文件中再导入为镜像
$ cat ubuntu.tar | sudo docker import - test/ubuntu:v1.0
$ sudo docker images
拷被完成后启动容器
docker run -itd -p80:80 20495bb5bcec /bin/bash

0x07 效果图

一、概念

Docker 端口映射即映射容器内应用的服务端口到本机宿主机器。

二、实现

当容器中运行一些网络应用，要让外部访问这些应用时，可以通过 -P 或 -p 参数两种方式来指定端口映射。

1. 随机映射

使用 -P 参数时，Docker 会随机映射一个端口到内部容器开放的网络端口，如下开启一个 nginx 服务：

$ docker run -d -P nginx
e93349d539119dc48dc841e117f6388d6afa6a6065b75a5b4aedaf5fb2a051fc
$ 
$ docker ps 
CONTAINER ID    IMAGE        COMMAND         CREATED       STATUS       PORTS          NAMES
e93349d53911    nginx        "nginx -g 'daemon ..."  11 seconds ago   Up 9 seconds    0.0.0.0:32769->80/tcp  zen_kirch

使用 docker ps 看到，本地主机的 32769 端口被映射到了容器的 80 端口，这时我们通过本机浏览器访问 http://localhost:32769 就会出现 nginx 欢迎页面。

2. 指定端口

使用 -p 参数时，可以指定要映射的端口，并且在一个指定的端口上只可以绑定一个容器。支持的格式有：

• IP:HostPort:ContainerPort
• IP:ContainerPort
• HostPort:ContainerPort

下面开启一个 nginx 服务，将本机 8080 端口映射到容器的 80 端口：

$ docker run -d -p 8080:80 nginx
23e725098712d061a1382f33d6fe54da23ae37597a62f8debdd3731b5f9cc4b9
$ 
$ docker ps
CONTAINER ID    IMAGE        COMMAND         CREATED       STATUS       PORTS          NAMES
23e725098712    nginx        "nginx -g 'daemon ..."  8 seconds ago    Up 6 seconds    0.0.0.0:8080->80/tcp  frosty_ptolemy

使用 docker ps 看到，本地主机的 8080 端口被映射到了容器的 80 端口，这时我们通过本机浏览器访问 http://localhost:8080 就会出现 nginx 欢迎页面。

三、查看映射端口

使用 docker port 命令来查看当前映射的端口配置，也可以查看到绑定的地址。命令格式如下：

$ docker port CONTAINER [PRIVATE_PORT[/PROTO]]

容器有自己的内部网络和 IP 地址，可以使用 docker inspect + 容器ID 获取容器的具体信息。

DOCKER 给运行中的容器添加映射端口

方法1

1、获得容器IP

将container_name 换成实际环境中的容器名

docker inspect `container_name` | grep IPAddress

2、iptable转发端口

将容器的8000端口映射到docker主机的8001端口

代码如下:

iptables -t nat -A  DOCKER -p tcp --dport 8001 -j DNAT --to-destination 172.17.0.19:8000

方法2

• 提交一个运行中的容器为镜像

docker commit containerid foo/live

• 运行镜像并添加端口

docker run -d -p 8000:80 foo/live /bin/bash

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持编程小技巧。

由于一台主机上不可能只跑一个容器，一台主机上的容器也不可能都是一个功能或者一个用户群体，不同用户群体之间信息的性质不同，对信息安全性的要求不同，因此划分虚拟网络的需求的客观的。划分虚拟网络的方法有很多，本文将提出划分docker虚拟网络的一个方案，即使用Docker的macvlan为容器提供桥接网络及跨主机通讯来划分网络。

macvlan的原理是在宿主机物理网卡上虚拟出多个子网卡，通过不同的MAC地址在数据链路层（Data Link Layer）进行网络数据转发的，它是比较新的网络虚拟化技术，需要较新的内核支持（Linux kernel v3.9–3.19 and 4.0+）。

使用mvcvlan

docker network create -d macvlan 
--subnet=172.17.0.0/24 
--gateway=172.17.0.1  
-o parent=eth0 mcv

首先，需要创建一个macvlan网络

然后指定要桥接的网络地址此处填docker0的IP地址，docker0的IP地址可以通过ifconfig进行查询。

网关地址与网络地址应该相互匹配

设置要在宿主机的哪块网卡上建立虚拟子网卡，这里我选择的是eth0，给它编号为mcv,方便之后使用

docker  run --net=mcv --ip=101.132.161.25 -itd alpine /bin/sh
docker  run --net=mcv --ip=101.132.161.67 -itd alpine /bin/sh

运行容器，指定刚建好的macvlan网络，并指定IP地址

之后通过docker attach 命令进入容器内部进行ping命令，这一轮操作就算完成了。

提示：创建第二块子网卡时可以将eth0改成eth0.1，将网桥修改为172.17.0.2

结果展示：

（注：101.132.161.67和101.132.161.25均在mcv网卡下，101.132.161.50在mcv1网卡下）

这样虚拟网络划分就完成了。