如何配置Windows10本地Airflow Docker容器实现跨网络远程访问及安全配置

基础配置步骤 #

• 第一步：调整Docker容器端口映射
  如果你使用docker-compose部署Airflow，打开项目根目录的docker-compose.yml文件，找到webserver服务的ports配置项，将默认的127.0.0.1:8080:8080修改为0.0.0.0:8080:8080，保存后执行docker-compose restart重启容器生效。
  如果你直接用docker run命令启动容器，将启动命令中的端口映射参数修改为-p 0.0.0.0:8080:8080，重新启动容器即可。你可以执行docker ps命令查看Airflow webserver对应的容器ID，执行docker restart <容器ID>完成重启。
• 第二步：本地Windows 10防火墙放行端口
  打开「高级安全Windows Defender防火墙」，选择「入站规则」-「新建规则」，规则类型选「端口」，协议选「TCP」，特定本地端口填8080，下一步选择「允许连接」，按需勾选适用的网络类型（家庭环境可仅勾选「专用」网络），最后设置规则名称为Airflow远程访问即可。
  配置完成后先找同一局域网下的设备，访问你本机的内网IP+8080端口测试连通性，Win10本机执行ipconfig可查看对应的内网IPv4地址，能正常打开Airflow登录页即说明前两步配置成功。
• 第三步：跨网络访问配置
  • 如果你家宽带有公网IP：登录路由器管理后台，找到「虚拟服务器/端口映射」功能，新增映射规则：外部端口填8080，内部IP填你本机的内网IP，内部端口填8080，协议选「TCP」，保存生效后，外部设备访问你家宽带的公网IP+8080端口即可访问Airflow服务。
  • 如果你家宽带没有公网IP：使用内网穿透工具，将本地的8080端口映射到公网可访问的端口，按照对应工具的配置指引操作即可。

安全配置注意事项 #

• 修改默认身份认证信息：Airflow默认账号密码为admin/admin，必须第一时间修改为强密码（长度不低于10位，包含大小写字母、数字、特殊符号），可在Airflow web界面右上角的用户设置中修改，也可以在部署时修改docker-compose.yml中的_AIRFLOW_WWW_USER_USERNAME、_AIRFLOW_WWW_USER_PASSWORD环境变量自定义账号密码。
• 避免明文传输敏感信息：不要直接将HTTP协议的Airflow服务暴露到公网，建议配置Nginx反向代理，添加HTTPS证书加密传输，同时可以额外配置HTTP Basic Auth做二次身份校验。
• 限制访问IP范围：如果远程访问的设备公网IP固定，可在Windows防火墙规则、路由器端口映射规则中设置仅允许该IP访问8080端口，不要开放给所有公网IP访问。
• 降低Docker容器权限：不要给Airflow容器添加--privileged特权模式启动，容器内不要使用root用户运行Airflow进程，避免容器被入侵后影响宿主机安全。
• 关闭调试模式：公网部署时确保AIRFLOW__DEBUG配置项为False，调试模式会泄露大量敏感配置信息，增加被攻击风险。
• 定期更新版本：定期更新Airflow镜像、Docker引擎的版本，及时修复已知的安全漏洞。

内容的提问来源于stack exchange，提问作者Nikita Budilovskiy