如何安全实现Docker容器内SSH连接？问题排查与方案咨询

一、安全挂载SSH密钥到容器 #

直接挂载本地密钥时，必须限制容器对密钥的修改权限，避免密钥泄露或篡改：

• 单机开发/测试场景：用只读绑定挂载，把本地SSH密钥目录挂载到容器内对应用户的.ssh路径，添加:ro标记确保容器只能读取密钥：

  docker run -it -v ~/.ssh:/root/.ssh:ro nstconn /bin/bash
  

  如果后续优化为普通用户运行容器，挂载路径改为/home/你的用户名/.ssh即可。
• 生产/集群场景：使用Docker Secrets存储SSH密钥，仅授权目标容器访问，避免密钥出现在命令行参数或挂载目录中，进一步降低泄露风险。

二、调整SSH连接代码适配容器环境 #

利用netmiko原生的代理跳转能力，替代手动处理端口转发，同时明确配置密钥路径：

# 代理服务器连接配置
proxy_config = {
    "device_type": "linux",
    "ip": "代理服务器IP",
    "username": "代理用户名",
    "key_file": "/root/.ssh/id_rsa",  # 对应容器内挂载的密钥路径
    "port": 22,  # 代理服务器SSH端口非默认时修改此处
}

# 交换机连接配置（通过代理跳转）
switch_config = {
    "device_type": "cisco_ios",  # 根据实际交换机类型调整
    "ip": "交换机IP",
    "username": "交换机用户名",
    "key_file": "/root/.ssh/id_rsa",
    "proxy_jump": proxy_config,  # netmiko自动处理SSH跳转
}

也可通过环境变量传递密钥路径，让代码更灵活：

import os
key_path = os.getenv("SSH_KEY_PATH", "/root/.ssh/id_rsa")

运行容器时通过-e SSH_KEY_PATH=/root/.ssh/id_rsa指定路径。

三、优化Dockerfile增强安全性与轻量化 #

你的Dockerfile可做以下调整，减少安全风险并缩小镜像体积：

FROM python:3.12-slim

# 创建普通用户，避免用root运行容器
RUN useradd -m nstuser
WORKDIR /home/nstuser/NSTConnection

# 复制代码并设置权限为普通用户
COPY --chown=nstuser:nstuser . /home/nstuser/NSTConnection
COPY --chown=nstuser:nstuser .venv /home/nstuser/NSTConnection/.venv

# 安装依赖
RUN pip install -r requirements.txt

# 安装openssh-client并清理缓存
RUN apt-get update && apt-get install -y --no-install-recommends openssh-client \
    && rm -rf /var/lib/apt/lists/*

# 切换到普通用户
USER nstuser

# 移除无用的EXPOSE 22：容器作为SSH客户端，无需监听端口

此时运行容器的挂载命令改为：

docker run -it -v ~/.ssh:/home/nstuser/.ssh:ro nstconn /bin/bash

四、验证连接步骤 #

1. 进入容器后先测试代理服务器连接：

   ssh -i /home/nstuser/.ssh/id_rsa 代理用户名@代理服务器IP
   

   若连接失败，检查密钥权限（容器内.ssh目录需为700，密钥文件为600）：

   chmod 700 ~/.ssh
   chmod 600 ~/.ssh/id_rsa
   

2. 测试通过代理连接交换机：

   ssh -J 代理用户名@代理服务器IP 交换机用户名@交换机IP
   

   以上两步成功后，再运行你的Python工具即可正常连接。

内容的提问来源于stack exchange，提问作者OliP14