spiped Docker镜像技术文档

1. 镜像概述与主要用途

spiped（发音为"ess-pipe-dee"）是一款用于在 socket 地址之间创建对称加密和认证管道的工具。通过 spiped，用户可连接到一个地址（如本地 UNIX socket），并透明地建立与另一个地址（如远程系统的 UNIX socket）的加密连接。其功能类似 ssh -L 的端口转发，但无需依赖 SSH，仅需预共享对称密钥。

该 Docker 镜像封装了 spiped 工具，提供轻量级、跨平台的加密通信转发能力，适用于需要安全传输数据的各类网络服务场景。

2. 核心功能与特性

对称加密与认证：基于预共享密钥实现数据加密和完整性校验，确保传输安全
跨 socket 转发：支持 TCP 端口与 UNIX socket 之间的透明转发
轻量级设计：无复杂依赖，资源占用低，适合嵌入式和容器化环境
灵活模式：支持加密模式（-e）和解密模式（-d），满足不同转发需求
多架构支持：兼容 amd64、arm32v5/6/7、arm64v8、i386 等多种硬件架构
安全运行选项：可配置为非特权用户运行，降低容器权限风险

3. 使用场景与适用范围

数据库加密转发：加密本地应用与远程数据库（如 MySQL、PostgreSQL）之间的通信
跨主机服务通信：保护分布式系统中服务间的明文传输（如 Elasticsearch、Redis）
本地服务加密暴露：将内部服务通过加密通道暴露到外部网络，避免直接暴露敏感端口
容器间安全通信：在 Docker 网络中为无加密机制的服务（如 HTTP 服务）添加传输加密层

4. 详细使用方法与配置说明

4.1 镜像拉取

拉取最新版镜像：

bash
docker pull spiped:latest

拉取特定版本（如 Alpine 变体）：

bash
docker pull spiped:1.6.4-alpine

4.2 生成密钥

spiped 依赖预共享对称密钥，可通过以下命令生成密钥文件（保存至 /path/to/keyfile/ 目录）：

bash
docker run -it --rm -v /path/to/keyfile:/spiped/key spiped spiped-generate-key.sh

生成的密钥文件需通过安全渠道（如 scp）传输至通信双方。

4.3 基本运行参数

容器默认从 /spiped/key 读取密钥（需通过挂载提供），并支持 spiped 原生参数。运行容器无参数时可查看帮助：

bash
docker run -it --rm spiped

输出的参数说明：

usage: spiped {-e | -d} -s <source socket> -t <target socket> -k <key file>
    [-DFj] [-f | -g] [-n <max # connections>] [-o <connection timeout>]
    [-p <pidfile>] [-r <rtime> | -R]

核心参数说明：

-e：加密模式（将源地址流量加密后转发至目标地址）
-d：解密模式（接收加密流量并解密后转发至目标地址）
-s <source socket>：源 socket 地址（格式：[IP]:端口 或 unix:路径）
-t <target socket>：目标 socket 地址（格式同上）
-k <key file>：密钥文件路径（容器内固定为 /spiped/key）
-D：前台运行（容器默认启用）
-F：强制关闭已建立连接（容器默认启用）

4.4 使用示例

4.4.1 本地端口解密转发

将加密连接（端口 8025）解密后转发至本地 25 端口（如邮件服务）：

bash
docker run -d \
  -v /path/to/keyfile:/spiped/key:ro \  # 只读挂载密钥文件
  -p 8025:8025 \                         # 映射加密端口
  --init \                               # 启用 init 进程处理信号
  spiped -d -s '[0.0.0.0]:8025' -t '[127.0.0.1]:25'

4.4.2 与其他容器联动

将加密连接（端口 9200）解密后转发至名为 elasticsearch 的容器 9200 端口：

bash
docker run -d \
  -v /path/to/keyfile:/spiped/key:ro \
  -p 9200:9200 \
  --link elasticsearch:elasticsearch \    # 链接目标容器
  --init \
  spiped -d -s '[0.0.0.0]:9200' -t 'elasticsearch:9200'

4.4.3 非特权用户运行

若无需绑定特权端口（<1024），可指定 --user spiped 以非特权用户运行，增强安全性：

bash
docker run -d \
  -v /path/to/keyfile:/spiped/key:ro \
  --user spiped \                        # 切换为非特权用户
  -p 9200:9200 \
  --link elasticsearch:elasticsearch \
  --init \
  spiped -d -s '[0.0.0.0]:9200' -t 'elasticsearch:9200'

4.5 Docker Compose 示例

以下为加密转发 Elasticsearch 服务的 docker-compose.yml 配置：

yaml
version: '3'
services:
  spiped:
    image: spiped:latest
    volumes:
      - /path/to/keyfile:/spiped/key:ro  # 挂载密钥文件
    ports:
      - "9200:9200"                      # 加密端口映射
    links:
      - elasticsearch:elasticsearch      # 链接目标服务
    user: spiped                         # 非特权用户运行
    init: true                           # 启用 init 进程
    command: -d -s '[0.0.0.0]:9200' -t 'elasticsearch:9200'

  elasticsearch:
    image: elasticsearch:8.10.4
    environment:
      - discovery.type=single-node