Maak kennis met: Docker

Maak kennis met: Docker

Docker biedt hierin uitkomst. Zij bieden namelijk al 8 jaar een oplossing om deze 80% van je tijd makkelijker te maken! Dit o.a. door de mogelijkheid om snel testservers op te zetten bij mede ontwikkelaar en testers. De tijd van configureren en installeren verminderen is natuurlijk waardevol, maar dit is slechts een deel van de kracht van Docker. 

Docker kan namelijk ook ondersteuning bieden in een deel van het vraagstuk waar veel mensen tegenaan lopen: Firewall security.

Als we namelijk kijken naar hoe Docker origineel geïnstalleerd wordt, wordt er één Docker netwerk, genaamd docker0 aangemaakt. Deze wringt zich in de beveiligingsregels van het netwerk. Dit netwerk staat in “Bridge” modus zodat het poorten openzet in de firewall die aangegeven worden in het Dockerfile bestand of in het docker-compose bestand. Dit is gedaan om het gemakkelijk te maken Docker containers zichtbaar te maken naar de buitenwereld op de “host”. 

 

Het zichtbaar maken van de containers doe je door vervolgens een -p <poort:poort> parameter toe te voegen aan het docker run commando om de container online te zetten. In de praktijk betekent dit wanneer er bijvoorbeeld een React applicatie op poort 8080 draait, Docker er voor zorgt ervoor onderwater de poort 8080 in de firewall wordt open gezet. 

Iedere ontwikkelaar en software beveiliging specialist zal je direct vertellen dat poorten naar buiten openzetten op een poort anders dan 80 en 443 een risico vormt, maar wat is hier de oplossing dan voor als Docker dit automatisch doet?

Een van de oplossingen is zelf een regel in de firewall maken om de poort te blokkeren, en een reverse proxy zoals NGINX, Apache of HAProxy te installeren en de applicatie via de reverse proxy open te stellen op poort 443 of poort 80 op een (sub-)domein. Een andere oplossing is om de poort direct aan poort 80 te binden door -p 80:8080 te gebruiken. Nog een andere oplossing is om de poort niet open te zetten en dus het -p commando weg te laten. 

Deze oplossingen werken zeker, alleen vergt het bij de eerste oplossing eigenlijk veel werk voor iets wat eigenlijk niet eens een probleem hoeft te zijn. Bij de tweede oplossing is daarmee direct poort 8- niet meer beschikbaar om eventuele andere applicaties op te draaien, en bij de laatste oplossing is, de webserver in dit geval, niet meer bereikbaar van buiten het netwerk. Maar er is ook een oplossing op de Docker manier: de Docker registry bevat namelijk al images van de meest bekende proxies die gebruikt worden. Wat je hiermee kunt bereiken is dat de proxy wordt gestart met de -p 80:80 -p 443:443 parameters, en de React applicatie wordt gestart met het commando EXPOSE 8080 bovenaan in het Dockerfile of docker-compose bestand. Dit zorgt ervoor dat de container met de React applicatie wel binnen Docker te bereiken is door andere containers zoals in dit geval de proxy, maar Docker opent verder geen poorten in de firewall om deze naar buiten te publiceren. Een voorbeeld van zo’n configuratie is hieronder te zien  als docker-compose.yml:

Om de mogelijkheden even op te sommen:

• Ports / -p: Zet de gespecificeerde poorten open in de firewall zodat ze van buiten Docker te bereiken zijn.
• Expose: Zet de poorten open binnen het Docker netwerk zodat de container aangesproken kan worden door andere containers binnen het Docker netwerk, maar de container zal niet direct aan te spreken zijn op de gespecificeerde poort buiten het Docker netwerk. 
• Geen expose / ports: De container zal volledig geïsoleerd zijn van de buitenwereld, en de poorten zijn niet aan te roepen door zowel de buitenwereld en andere containers binnen het Docker netwerk.