Docker outside of DinD运行遇权限拒绝，如何配置容器监听端口接收命令？

错误原因 #

你直接运行docker run --rm -v /var/run/docker.sock:/var/run/docker.sock docker:latest时，触发了镜像的默认CMD——启动Docker-in-Docker（DinD）模式，它会尝试在容器内部创建一个全新的Docker daemon，这就需要容器拥有修改内核参数、挂载系统目录的权限，所以才会出现ip_tables找不到、挂载权限不足等错误。

而你运行docker:latest version时，覆盖了默认CMD，仅启动Docker客户端连接宿主机的docker.sock获取版本信息，不需要启动daemon，因此能正常运行。你的需求是Docker-out-of-Docker（DoD）模式：让容器监听端口，转发Docker命令到宿主机的Docker daemon，而非在容器内启动新daemon。

解决方案 #

要实现容器监听端口接收Docker命令并转发到宿主机daemon，有两种常用方式：

方式1：用官方Docker镜像启动代理 #

直接让容器内的Docker daemon作为宿主机sock的代理，监听指定端口：

docker run --rm -d \
  -p 2375:2375 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  --privileged \
  docker:latest \
  dockerd -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock

注意：2375是未加密的HTTP端口，生产环境必须配置TLS加密（改用2376端口并挂载证书文件）。

方式2：用轻量Socket代理镜像（更安全） #

使用tecnativa/docker-socket-proxy，它可以精细控制API权限，无需特权，更适合生产环境：

docker run --rm -d \
  -p 2375:2375 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  tecnativa/docker-socket-proxy \
  CONTAINERS=1 IMAGES=1 # 按需开放API权限，多个权限用空格分隔

Docker Compose部署示例 #

以下是部署到指定Docker网络的Compose配置，以轻量代理镜像为例：

version: '3.8'

# 指定目标网络，若网络已存在则设为external: true
networks:
  your-target-network:
    external: true

services:
  docker-socket-proxy:
    image: tecnativa/docker-socket-proxy
    ports:
      - "2375:2375"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    networks:
      - your-target-network
    environment:
      # 按需开放API权限，全部开放可设为ALL=1
      CONTAINERS: 1
      IMAGES: 1
      NETWORKS: 1
      VOLUMES: 1
    restart: unless-stopped

如果坚持使用官方Docker镜像，Compose配置如下：

version: '3.8'

networks:
  your-target-network:
    external: true

services:
  docker-daemon-proxy:
    image: docker:latest
    ports:
      - "2375:2375"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    networks:
      - your-target-network
    command: dockerd -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock
    privileged: true
    restart: unless-stopped

关键注意事项 #

• 避免直接运行docker:latest默认CMD：默认启动DinD，不符合你的DoD需求。
• 权限控制：官方镜像代理需要--privileged参数满足daemon的系统调用需求；轻量代理镜像无需特权，仅做请求转发。
• 安全风险：开放未加密的2375端口仅限可信内部网络使用，生产环境必须配置TLS加密。

内容的提问来源于stack exchange，提问作者ybalcanci