本文簡要說明在Ubuntu Docker環境搭建Open***服務的步驟和需要注意和考慮的問題。在宿主機上直接搭建Open***可以參閱《CentOS6.7安裝Open***服務端》，文章中的版本比較老，可以參考Open*** GitHub查看最新的搭建方法。
注：本文假設讀者具備Linux網絡及運維基礎、路由交換、Docker、基本的英語等相關技能，如需獲得幫助可在本文下方留言處留言。
環境與先決條件：
1.服務端：Ubuntu 14 LTS
2.服務端：Docker Server/Client version 1.13.1，API version: 1.26
3.服務端與客戶端時間保持一致
4.客戶端操作系統不作要求，Linux\Windows\Mac OSX都可以
服務端基本信息：
安裝Docker服務端
安裝Docker很簡單，主要是要區分Ubuntu版本和認真參閱Docker文檔，此處簡單列下命令，一帶而過：
# Install docker engine on Ubuntu 16 LTS and Ubuntu 14 LTS sudo apt-get update sudo apt-get install -y --no-install-recommends \ apt-transport-https \ ca-certificates \ curl \ software-properties-common curl -fsSL https://apt.dockerproject.org/gpg | sudo apt-key add - sudo apt-get install apt-transport-https ca-certificates sudo apt-key adv \ --keyserver hkp://ha.pool.sks-keyservers.net:80 \ --recv-keys 58118E89F3A912897C070ADBF76221572C52609D # echo "deb https://apt.dockerproject.org/repo ubuntu-xenial main" | sudo tee /etc/apt/sources.list.d/docker.list sudo add-apt-repository \ "deb https://apt.dockerproject.org/repo/ \ ubuntu-$(lsb_release -cs) \ main" apt-key fingerprint 58118E89F3A912897C070ADBF76221572C52609D sudo apt-get update -y apt-cache policy docker-engine apt-cache madison docker-engine sudo apt-get upgrade -y sudo reboot # For Ubuntu 14.04 LTS # sudo apt-get install linux-image-generic-lts-xenial linux-generic-lts-xenial # sudo reboot sudo apt-get install -y --no-install-recommends \ linux-image-extra-$(uname -r) \ linux-image-extra-virtual # # use next cmd line to decrease time for install docker-engine # wget -c https://apt.dockerproject.org/repo/pool/main/d/docker-engine/docker-engine_1.13.1-0~ubuntu-trusty_amd64.deb # sudo apt-get install -y aufs-tools cgroup-lite libltdl7 libsystemd-journal0 # sudo dpkg -i docker-engine_1.13.1-0~ubuntu-trusty_amd64.deb sudo apt-get install docker-engine -y sudo sed -i 's/GRUB_CMDLINE_LINUX=""/GRUB_CMDLINE_LINUX="cgroup_enable=memory swapaccount=1"/g' /etc/default/grub sudo update-grub sudo service docker restart || sudo systemctl restart docker.service sudo service docker status || sudo systemctl status docker.service # sudo groupadd docker sudo usermod -aG docker $USER sudo groups $USER # Install docker Client utilities cd /tmp; wget -c https://www.kernel.org/pub/linux/utils/util-linux/v2.29/util-linux-2.29.tar.gz tar xzvf util-linux-2.29.tar.gz cd util-linux-2.29 ./configure --without-ncurses && make nsenter sudo cp nsenter '/usr/local/bin' cd rm -rf /tmp/util-linux-2.29 wget -P ~ https://github.com/yeasy/docker_practice/raw/master/_local/.bashrc_docker; echo "[ -f ~/.bashrc_docker ] && . ~/.bashrc_docker" >> ~/.bashrc; source ~/.bashrc
使用的Docker鏡像是來自https://store.docker.com/community/images/kylemanna/open***，文檔很清晰，可以參考它的github，https://github.com/kylemanna/docker-open***，更爲詳細的文檔在https://github.com/kylemanna/docker-open***/tree/master/docs
部署Open***容器關鍵點
部署Open***容器很簡單，只需要注意查看docker容器運行日誌（docker logs <container id> | <container name>）和宿主機需要開啓的內核參數。
臨時調整內核參數可以使用下面三行命令：
sudo sysctl -w net.ipv4.conf.default.accept_source_route=1
sudo sysctl -w net.ipv4.conf.all.rp_filter=0
sudo sysctl -w net.ipv4.ip_forward=1
永久調整可以編輯 sysctl.conf以及include目錄（/etc/sysctl.d/）下的自定義文件（ End-users can use 60-*.conf and above, or use /etc/sysctl.conf directly），也可參考/etc/sysctl.d/README文件獲得配置內核參數的最佳實踐。
更爲需要注意的是，最新版本的Docker增加了Linux Capabilities（可允許普通用戶和進程執行一些root才能執行的特殊權限），需要設置正確的的cap參數，NET_RAW和NET_ADMIN，因爲默認策略是Drop，在docker run時使用--cap-add NET_ADMIN --cap-add NET_RAW參數添加。具體的可以參考：https://docs.docker.com/engine/reference/run/#/runtime-privilege-and-linux-capabilities
服務端簡要的步驟如下：
# References: # https://store.docker.com/community/images/kylemanna/open*** # https://github.com/kylemanna/docker-open*** # https://github.com/kylemanna/docker-open***/tree/master/docs # Create Open*** container persistent storage using docker volume O***_DATA="o***-data" docker volume create --name $O***_DATA # Generate Open*** Server configuration file docker run -v $O***_DATA:/etc/open*** --rm kylemanna/open*** o***_genconfig -u tcp://<ip address or fqdn> # Initialize Open*** Server PKI docker run -v $O***_DATA:/etc/open*** --rm -it kylemanna/open*** o***_initpki # Adjust Linux host kernel configutration sudo sysctl -w net.ipv4.conf.default.accept_source_route=1 sudo sysctl -w net.ipv4.conf.all.rp_filter=0 sudo sysctl -w net.ipv4.ip_forward=1 # Create Open*** Server container # https://docs.docker.com/engine/reference/run/#runtime-privilege-and-linux-capabilities # NET_RAW Use RAW and PACKET sockets. Such as "iptables" # NET_ADMIN Perform various network-related operations. docker run -v $O***_DATA:/etc/open*** -d --name "open***" --hostname="open***" -v /etc/localtime:/etc/localtime -p 1194:1194 --cap-add NET_ADMIN --cap-add NET_RAW kylemanna/open*** # Gen Open*** client configuration file docker run -v $O***_DATA:/etc/open*** --rm -it kylemanna/open*** easyrsa build-client-full dinggd nopass docker run -v $O***_DATA:/etc/open*** --rm kylemanna/open*** o***_getclient dinggd > dinggd.o*** # Get Open*** Client List docker run --rm -it -v $O***_DATA:/etc/open*** kylemanna/open*** o***_listclients # Revoking Client Certificates docker run --rm -it -v $O***_DATA:/etc/open*** kylemanna/open*** easyrsa revoke dinggd docker run --rm -it -v $O***_DATA:/etc/open*** kylemanna/open*** easyrsa gen-crl
通過上述步驟後，會在當前目錄下獲得dinggd.o***配置文件（dinggd是Open***用戶的用戶名），可以直接用於Open***客戶端配置文件。
這個鏡像的優點是：
1.服務器證書以及客戶端證書、key是放在Open***的客戶端配置文件中的，大大提高了文件系統整潔性，一個用戶安裝Open***客戶端後，只需要一個Open***客戶端配置文件就可以完成整個Open***連接操作；
2.利用docker容器中的腳本&命令可以很方便的添加、刪除客戶端用戶，對於Open***的管理者來說配置簡單，使用方便；
這個鏡像的缺點是：
1.默認不打印日誌到數據存儲（這個操作是可以配置的，如在服務端配置文件中添加log /var/log/open***/open***.log和log-append /var/log/open***/open***.log）
2.另外一個缺點是默認生成的客戶端的日誌同樣也是打印到syslog中，這個也是可以配置的，配置與上近同。
簡要的排錯技巧：
1.逐個排除法排除，先排除服務器端，包括服務器端的配置文件的合法性，留意docker 容器的啓動日誌中的報錯
2.服務端需要正確設置內核參數，根據Docker Server版本的不同注意Linux cap的參數配置，參照本文上文提示
3.排除服務端問題後，檢查路由器、防火牆和代理設置，NAT環境下認真設置正確的端口轉發
4.排除客戶端問題，認真查看系統日誌或自定義的Open***客戶端日誌，檢查路由器、防火牆和代理設置
5.注意客戶端和服務端時間一致的問題
tag: Open***容器化,Open***故障排除,Open***常見問題
--end--