Ide on Liangweidong's blog

Docker Remote API 与 2375 端口：从开启到 IDE 集成的安全实践

Sun, 15 Jun 2014 00:00:00 +0800

Docker 1.0 在 2014 年 6 月正式发布时，伴随的不仅是一个稳定版，更是一套被广泛复用的管理接口——Docker Remote API。基于 HTTP + REST 风格，把 daemon 暴露在 2375 端口（未加密）或 2376 端口（TLS 加密），让 IDEA、Portainer、Shipyard、命令行客户端都能远程控制容器。

这一篇把"如何开启 2375 端口 + 如何用 IDEA 远程连接 + 为什么必须配 TLS"这条主线串起来。

阅读对象：需要从开发机远程管理服务器 Docker daemon 的开发者、运维同学 覆盖范围：systemd 开启 2375/2376 端口 + IDEA Docker 插件 + TLS 证书生成 + 风险与替代方案

一、为什么需要 Remote API

本地 docker 命令行直接走 /var/run/docker.sock Unix socket。一旦要在另一台机器上管理这个 daemon，要么 SSH 登过去，要么把 daemon 暴露成 HTTP 服务。

Remote API 的典型场景：

开发机远程管理生产 / 测试 Docker daemon——开发笔记本 IDEA 上点 “Redeploy”，触发远端容器重建
可视化平台集中管控——Portainer、Shipyard、Rancher 通过 Remote API 拉取容器列表 / 镜像 / 日志
CI 节点操作远端 daemon——Jenkins Agent 在 K8s 节点内，通过 Remote API 控制宿主机 Docker（早期 docker-in-docker 方案）

到 2014 年中 Docker 1.0 时代，2375 是事实上的标准端口。Docker 1.11+（2016-04）又新增了 2376 作为 TLS 加密端口，逐步成为生产推荐。

二、开启 2375 端口（systemd 方式）

绝大多数 Linux 发行版（CentOS 7+、Debian 8+、Ubuntu 16.04+）的 Docker 由 docker.service 守护，通过 systemd 管理。修改启动参数是开启 Remote API 的标准做法。

1
2


# 编辑 docker.service
vim /usr/lib/systemd/system/docker.service

在 ExecStart 这一行追加 -H tcp://0.0.0.0:2375 -H unix://var/run/docker.sock：

1
2
3
4
5
6
7
8


[Service]
Type=notify
ExecStart=/usr/bin/dockerd \
 -H fd:// \
 -H tcp://0.0.0.0:2375 \
 -H unix:///var/run/docker.sock
ExecReload=/bin/kill -s HUP $MAINPID
...

Why 加 -H fd:// + -H unix:///var/run/docker.sock：保留 fd 协议（systemd socket activation）和 Unix socket，让本机 docker 命令继续可用。如果不加 Unix socket，本机 docker ps 会全部失效。

修改完之后：

1
2
3
4
5
6
7
8
9


# 重新加载 systemd 配置
systemctl daemon-reload

# 重启 docker
systemctl restart docker

# 验证端口是否真的开了
ss -tlnp | grep 2375
# 期望输出：LISTEN 0 128 *:2375 *:* users:(("dockerd",pid=...,fd=...))

从远端测试一下：

1
2
3


# 在另一台机器上
docker -H tcp://<docker-host>:2375 images
# 期望输出：该 daemon 上的镜像列表

注意：<docker-host> 是 daemon 所在机器的 IP。不要写 0.0.0.0——客户端必须用真实可达 IP（如内网 IP 或公网 IP）。

三、IDEA 集成 Docker

IntelliJ IDEA（2017.2+ Ultimate 内置 Docker 插件，2017.3 起 Community 也支持）能直接连 Docker daemon。

3.1 在 IDEA 中配置

Settings → Build, Execution, Deployment → Docker：

TCP Socket: tcp://<docker-host>:2375（明文）或 tcp://<docker-host>:2376（TLS）
Docker Compose executable：选 docker-compose 可执行文件路径

如果走 TLS，需要提前准备：

字段	含义
CA cert	证书颁发机构（`.crt` 文件）
Client cert	客户端证书（`.cert` 文件）
Client key	客户端私钥（`.key` 文件）

填完之后，IDEA 会在底部 Services 面板里新增 Docker 节点，可以看到远端容器、镜像、卷、网络，并支持：

一键 Run / Debug 容器（自动构建镜像 → 启动）
实时查看容器 stdout / stderr
Exec into container（类似 docker exec -it）
资源图表（CPU / 内存 / 网络 IO）

3.2 实际工作流

1
2
3
4
5
6
7


[IDEA]
 ↓ Run 'Docker' configuration
 ↓ docker build -t myapp:dev .
 ↓ docker run -d -p 8080:8080 myapp:dev
[远端 Docker daemon (2375/2376)]
 ↓ 拉取基础镜像 / 构建 / 启动容器
 ↓ 把 stdout/stderr 推回 IDEA

开发阶段，所有 build / run / debug 都在远端完成，本地不需要装 Docker Desktop——这是 2014-2017 时代跨平台开发的常见模式。

四、风险与生产建议

明文 2375 端口 = 把 daemon root 权限交给任何能访问到的人。攻击者只要能连到这个端口，就能：

跑特权容器 → 逃逸到宿主机
拉取 / 推送任意镜像
删除所有数据卷
挂载宿主机任意目录

4.1 必须做的安全加固

绝不放公网：2375 端口只能在 VPC 内网开放，不要在云厂商安全组里把 2375 对 0.0.0.0/0 开放
必须配 TLS（2376）：用 OpenSSL 生成 CA、server、client 证书，配置 tlsverify + tlscacert + tlscert + tlskey
防火墙白名单：iptables / nftables / 云安全组只放行可信 IP 段
避免 rootless 之外运行：Docker 默认以 root 运行，任何 Remote API 调用都是 root 等价

4.2 最小化配置示例（TLS）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


# 1. 生成 CA、server、client 证书（简化版，参考 dockerd 官方文档）
cd /etc/docker/tls
openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
# ... 生成 server-cert.pem / server-key.pem / client-cert.pem / client-key.pem

# 2. 修改 docker.service
ExecStart=/usr/bin/dockerd \
 --tlsverify \
 --tlscacert=/etc/docker/tls/ca.pem \
 --tlscert=/etc/docker/tls/server-cert.pem \
 --tlskey=/etc/docker/tls/server-key.pem \
 -H tcp://0.0.0.0:2376 \
 -H unix:///var/run/docker.sock

systemctl daemon-reload
systemctl restart docker

4.3 替代方案

如果不想在每台机器上维护 TLS 证书，SSH 隧道是更轻量的选择：

1
2
3
4
5
6
7


# 在客户端机器上，把远端 docker.sock 转到本地
ssh -L 2375:localhost:2375 user@<docker-host> \
 -o "StreamLocalBindUnlink=yes" \
 -- docker system

# 现在本地 docker 命令会走 SSH 隧道
docker -H tcp://localhost:2375 ps

或者用反向 SSH 隧道让远端 daemon 主动连出：

1
2


# 在 docker-host 上
ssh -R 2375:unix:///var/run/docker.sock user@jumphost

五、常见问题

5.1 `Cannot connect to the Docker daemon at tcp://...`

按顺序排查：

端口是否真的开放：ss -tlnp | grep 2375 / telnet <host> 2375
防火墙是否放行：iptables -L -n / firewall-cmd --list-all
云安全组：检查入方向规则
dockerd 启动参数：检查 -H tcp://0.0.0.0:2375 是否拼对（注意是 tcp:// 不是 tcp:\\\\）

5.2 IDEA 连上之后看不到容器

确认 IDEA 里填的端口和 daemon 一致
如果是 2376，所有三份证书都要正确（CA + client cert + client key）
在 daemon.json 里查看 "hosts" 字段确认没被覆盖

5.3 TLS 连不上

检查证书的 SAN（Subject Alternative Name）字段，必须包含客户端实际访问的 IP / 域名。Docker 18.09+ 启用了严格的证书校验，SAN 不匹配直接 tls: invalid certificate 报错。

六、要点回顾

2375 = 明文，2376 = TLS——生产环境只用 2376
保留 Unix socket——-H unix:///var/run/docker.sock 必须有，否则本机 docker 命令会失效
systemd reload ≠ restart——改完 docker.service 必须 daemon-reload + restart，reload 不会重读 service 文件
IDEA Docker 插件 是 Remote API 最常见的消费方，从 2017.2 起 Ultimate 内置，2017.3 起 Community 可用
SSH 隧道是 2375 的"穷人版安全"——比明文好，但仍需 root 信任 SSH 通道

七、小结

Remote API 打开了 Docker 生态的"分布式管理"大门——从 CI 节点到 IDE，从可视化平台到跨主机编排，几乎所有上层工具都建立在 Remote API 之上。但 2375 明文端口的安全代价极高，生产部署必须走 2376 + TLS。

下一步：理解了 Remote API，下一层是 Docker Compose v2（2020-08 GA）的声明式管理——把多个容器、网络、卷用一个 YAML 描述，daemon 自动调谐到期望状态。Compose v2 内部仍依赖 Docker SDK（Remote API 的 Go 封装），2375/2376 是它的"地基"。

参考资料

IntelliJ IDEA 全攻略：Java 主流 IDE 实战与插件生态

Tue, 15 Apr 2014 00:00:00 +0800

一、IntelliJ IDEA 在 2013-2014 的地位

2013 年 12 月，JetBrains 发布 IntelliJ IDEA 13——这是 Java IDE 史上第一个默认 UI 走 Darcula 暗色主题的版本，也是 Maven/Gradle 项目支持大幅强化的一年。2014 年 IDEA 14 推出 Spring 4 完整支持、Java 8 lambda 调试。从此 IDEA 与 Eclipse 的战争就基本结束——本文整理 IDEA 在这两年沉淀下来的核心用法。

阅读建议：本文面向从 Eclipse 切换到 IDEA 的 Java 开发者，重点在快捷键迁移 + 必备插件。

二、安装与初始配置

2.1 下载

官方 https://www.jetbrains.com/idea/download/#section=windows：

版本	适合
Community	自由开源（JDK 11 后部分功能受限）
Ultimate	商业（Spring/Hibernate/JS 等框架）
Edu	学生教学（免费 Ultimate）

2.2 第一次启动要做的事

Configure → Settings → Appearance → Theme → Darcula（护眼）
Editor → Font → JetBrains Mono（旧版用 Consolas）
Editor → General → Code Completion → 取消 Match case（大小写不敏感）
Build, Execution, Deployment → Compiler → 勾选 Build project automatically
Version Control → Git → 选 git.exe 路径

2.3 内存调优

Help → Change Memory Settings（2020+）或编辑 idea64.exe.vmoptions：

1
2
3
4


-Xms2048m
-Xmx4096m
-XX:ReservedCodeCacheSize=512m
-XX:+UseG1GC

2025 时代：IDEA 2024+ 已经自适应内存，初学者不要瞎调。Ctrl+Shift+A 搜 “Diagnostic Tools” 看内存使用。

三、核心快捷键

3.1 必学 10 个

快捷键	作用
`Double Shift`	查找所有（类/文件/符号/动作）
`Ctrl + N`	查找类
`Ctrl + Shift + N`	查找文件
`Ctrl + Alt + L`	格式化代码
`Alt + Enter`	显示意图操作（万能修复）
`Ctrl + B` / `Ctrl + Click`	跳转到声明
`Ctrl + F12`	当前文件结构
`Ctrl + E`	最近文件
`Alt + Insert`	生成代码（getter/setter/构造/重写）
`Ctrl + Shift + F10`	运行当前上下文

3.2 进阶快捷键

快捷键	作用
`Ctrl + Shift + F`	全项目查找字符串
`Ctrl + Shift + R`	全项目替换
`Alt + F7`	查找用法
`Ctrl + Alt + H`	方法调用层次
`Ctrl + Shift + T`	创建单元测试
`Ctrl + H`	类继承层次
`Shift + F6`	重命名（项目级联动）
`Ctrl + Alt + V`	引入变量
`Ctrl + Alt + M`	提取方法
`Ctrl + Alt + T`	Surround with（if/try/for 包裹）

3.3 从 Eclipse 迁移

Settings → Keymap → Eclipse 可一键切换。但更推荐保留 IDEA 风格——IntelliJ IDEA Keybindings 扩展 VSCode，风格统一。

四、代码生成

4.1 Live Templates（实时代码模板）

Settings → Editor → Live Templates，IDEA 内置几十个模板：

模板	展开	用途
`psvm`	`public static void main(String[] args) {}`	main 方法
`sout`	`System.out.println()`	打印
`fori`	`for (int i = 0; i < ; i++)`	for 循环
`iter`	`for (T t : list)`	增强 for
`ifn`	`if (var == null)`	null 判断
`inn`	`if (var != null)`	非 null 判断
`prsf`	`private static final`	静态常量
`psfi`	`public static final int`	公共常量
`thr`	`throw new`	异常
`ret`	`return`	返回

4.2 自定义 Live Template

例：自定义 soutm 打印方法名：

1
2
3


// 模板
System.out.println("$CLASS_NAME$.$METHOD_NAME$()");
// 适用 Java

$VAR$ 语法是占位符， $END$ 是光标最终位置。

4.3 Postfix Completion

输入表达式后加 . 自动展开：

输入	展开
`list.for`	`for (T t : list) {}`
`list.fori`	`for (int i = 0; i < list.size(); i++) {}`
`str.sout`	`System.out.println(str);`
`obj.nn`	`if (obj != null) { }`
`obj.null`	`if (obj == null) { }`
`num.var`	`int var = num;`

效率倍增器——前期多记。

五、必备插件（2013-2014 时代）

5.1 工具类

插件	用途
`.env files support`	.env 文件语法高亮
`.ignore`	.gitignore 模板
`Alibaba Cloud Toolkit`	阿里云 ECS / 部署
`Alibaba Java Coding Guidelines`	阿里代码规范检查（p3c 规则）
`Lombok`	`@Data` `@Slf4j` 注解支持
`Free Mybatis plugin`	Mapper/Service 跳转
`Mybatis Log Plugin`	把 MyBatis 预编译 SQL 还原成可执行 SQL
`Translation`	划词翻译（`Translation` 引擎选 `Google`/`DeepL`）
`Key Promoter X`	鼠标操作时提示快捷键（学习神器）

5.2 代码生成

插件	用途
EasyCode	选表 → 一键生成 Entity/Mapper/Service/Controller
mybatis-maven-plugin	Maven 插件方式生成 MyBatis 代码
`Git Commit Template`	规范化 commit message
`GitToolBox`	行内 blame、内联分支信息
`EnvFile`	多环境 `.env` 切换
`HOCON`	Play Framework 配置格式

5.3 主题 / 个性

插件	用途
`Material Theme UI`	Google Material 风格
`One Dark theme`	VSCode 经典暗色
`Atom One Dark Theme`	Atom 风格
`IdeaVim`	Vim 模式（Vim 党救命）
`Background Image Plus`	编辑器背景图（小心被扣工资）

5.4 IdeaVim 配置

Vim 党必装。~/.ideavimrc：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


" 关闭搜索高亮
nmap <silent> <Esc> :nohlsearch<CR>

" Tab 切换窗口
nnoremap <C-h> <C-w>h
nnoremap <C-l> <C-w>l
nnoremap <C-j> <C-w>j
nnoremap <C-k> <C-w>k

" 搜索时高亮当前词
set hlsearch
set incsearch

: 命令也能用 :w :q :e 等等。

5.5 MyBatis 代码生成（EasyCode）

装 EasyCode + Database 插件：

右侧 Database 标签 → 加 MySQL 数据源
右键表 → EasyCode → Generate Code
选择生成模板（默认 MyBatis-Plus、MyBatis 等）
一键生成 Entity、Mapper、Service、Controller、ServiceImpl、Mapper.xml

生成的代码默认 Spring Boot 风格，直接拿到项目用。

六、Spring Boot 项目结构

6.1 推荐的目录结构

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


src/main/java/
└── com.example.demo/
 ├── DemoApplication.java # @SpringBootApplication
 ├── config/ # @Configuration
 ├── controller/ # @RestController
 ├── service/
 │ └── impl/ # @Service
 ├── mapper/ # @Mapper
 ├── entity/ # @Data @TableName
 ├── dto/ # 数据传输对象
 ├── vo/ # 视图对象
 ├── enums/ # 枚举
 └── common/ # 工具类
 ├── result/ # 统一返回 R<T>
 ├── exception/ # 全局异常
 └── constant/ # 常量

6.2 application.yml 分环境

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


spring:
 profiles:
 active: dev

---
spring:
 profiles: dev
 datasource:
 url: jdbc:mysql://localhost:3306/dev
 username: root
 password: <PASSWORD>

---
spring:
 profiles: prod
 datasource:
 url: jdbc:mysql://prod-host:3306/prod
 username: <USER>
 password: <PASSWORD>

切换：右上角 Edit Configurations → Active Profiles。

七、性能调优与排错

7.1 启动慢

关闭非必要插件：Settings → Plugins 取消勾选
Help → Diagnostic Tools → Activity Monitor 看占用
升级 SSD（最有效）

7.2 “cannot connect to already running ide instance”

C:\Users\<USER>\AppData\Roaming\JetBrains\IntelliJIdea2023.2\.lock 文件存在，说明有实例在跑。直接删除 .lock 文件即可。

7.3 Lombok 不生效

装 Lombok 插件
Settings → Build → Compiler → Annotation Processors → 勾选 Enable annotation processing
重启 IDEA

7.4 Debug 时看不到变量值

Settings → Build → Compiler → Debugger → HotSwap → 启用（部分功能 Ultimate 才有）

7.5 Maven 依赖下载慢

Settings → Build → Maven → 改 User settings file 为阿里云镜像：

1
2
3
4
5
6
7
8


<mirrors>
 <mirror>
 <id>aliyun</id>
 <name>Aliyun Maven</name>
 <url>https://maven.aliyun.com/repository/public</url>
 <mirrorOf>central</mirrorOf>
 </mirror>
</mirrors>

八、必备快捷键速查

类别	快捷键
导航	`Ctrl+N` 类 / `Ctrl+Shift+N` 文件 / `Ctrl+Alt+Shift+N` 符号
编辑	`Ctrl+D` 复制行 / `Ctrl+Y` 删除行 / `Ctrl+/` 注释
重构	`Shift+F6` 重命名 / `Ctrl+Alt+M` 提取方法
运行	`Shift+F10` 运行 / `Shift+F9` 调试
窗口	`Alt+1` 项目 / `Alt+4` 运行 / `Alt+5` 调试 / `Alt+9` Git
VCS	`Ctrl+K` 提交 / `Ctrl+T` 更新 / `Alt+9` 日志

九、IDEA vs Eclipse vs VSCode

维度	IDEA Ultimate	Eclipse	VSCode
Java 体验	★★★★★	★★★★	★★★（要装 Extension Pack）
启动速度	★★★（最慢）	★★★★	★★★★★
内存占用	★★（最重）	★★★	★★★★
前端	★★★★	★★	★★★★★
调试	★★★★★	★★★★	★★★
智能提示	★★★★★	★★★★	★★★★
价格	商业	免费	免费

经验法则：

Java 后端为主 → IDEA
多语言混合 + 前端 → VSCode
老项目 + 嵌入式 → Eclipse

十、常见问题

10.1 中文乱码

Settings → Editor → File Encodings：

Global Encoding: UTF-8
Project Encoding: UTF-8
Default encoding for properties files: UTF-8

10.2 Maven 报错 “Cannot resolve symbol”

File → Invalidate Caches → 勾选所有 → Invalidate and Restart。

10.3 Tomcat 控制台中文乱码

Help → Edit Custom VM Options：

1
2


-Dfile.encoding=UTF-8
-Dconsole.encoding=UTF-8

10.4 Spring Boot 项目启动报错 “Web server failed to start”

检查 application.yml 端口是否被占用：netstat -ano | findstr 8080
检查 pom.xml 中 spring-boot-starter-web 依赖
启动类是否在 com.example 父包下

十一、下一步

想看设计建模：[2014-10-15 设计建模工具：Axure / PowerDesigner / VSCode]
想看版本控制：[2014-11-15 Git 与版本控制]
想看 Spring Boot 微服务：项目全流程 章节

本文写于 2014 年，回看当时：IDEA 2014 还是付费 Ultimate 的天下（Community 版功能弱），2024 年 Community 已经免费支持 Spring Boot 全功能——这是 JetBrains 2024 年最大的开源让步。Alibaba 规范插件 2017 年才正式上线（p3c 2017 开源），p3c 已成为国内 Java 代码规范的事实标准。