Puerto 2376 (Docker API (TLS)): para qué sirve y cómo protegerlo
El puerto 2376 TCP es el de la API remota de Docker protegida con TLS y certificados de cliente. Es la única forma aceptable de exponer el demonio de Docker por red, aunque para la mayoría de usos es más sencillo y seguro gestionarlo por SSH.
Qué es el puerto 2376
Con --tlsverify, el demonio solo acepta clientes que presenten un certificado firmado por tu CA. Sin la verificación del cliente, el TLS solo cifra, pero no impide el acceso.
¿Es peligroso tener abierto el puerto 2376?
Riesgo medio: Solo expuesto con autenticación fuerte o limitado por IP.
- Seguro solo con tlsverify y certificados de cliente.
Cómo proteger el puerto 2376
- Usa tlsverify.
- Limita el acceso por IP en el firewall.
- Considera SSH como alternativa.
Comandos y configuración
Comprobar si el puerto 2376 está abierto
sudo ss -tlnp | grep ':2376 '
nc -zv 203.0.113.10 2376
sudo nmap -p 2376 203.0.113.10Cliente con certificados
docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://servidor:2376 psTambién puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Herramientas para comprobarlo
Preguntas frecuentes
¿Es suficiente con TLS en la API de Docker?
Solo si activas tlsverify para exigir certificado de cliente. TLS sin verificación de cliente deja entrar a cualquiera.