overlay网络ipsec加密是混合云防窃听最有效方式，需通过docker network create --opt encrypted显式启用，swarm自动同步aes-gcm密钥，无法对已有网络补开，须重建并迁移服务。
直接启用 Overlay 网络的 IPsec 加密是解决混合云拉伸中流量被窃听最有效的方式。Docker Swarm 默认不开启加密，跨云传输的 VXLAN 封包以明文形式在公网或不可信网络中流转，攻击者可轻易截获容器间通信数据。
确认当前 Overlay 网络是否加密
执行以下命令检查已创建的 overlay 网络是否启用了加密：
-
docker network inspect
| grep -i encrypted —— 若输出 "Encrypted": true，说明已启用；若无此字段或为 false，则未加密 - 在任意 Swarm 节点上运行 sudo ss -uln | grep 4789，确认 VXLAN 流量端口（4789）是否处于监听状态，再结合 iptables -t mangle -L -n | grep esp 查看是否有 ESP（IPsec 加密协议）相关规则
创建加密的 Overlay 网络
必须在 Swarm 集群模式下操作，且所有节点间已打通 2377、7946、4789 端口。新建网络时显式指定 --opt encrypted：
- docker network create --driver overlay --opt encrypted --attachable my-secure-overlay
- 该参数会自动启用基于 IPsec 的 AES-GCM 加密，无需额外配置密钥分发 —— Docker 内置 Raft 会在 Manager 节点间安全同步加密密钥
- 注意：已有未加密网络无法通过
docker network update补开加密，需重建网络并迁移服务
验证加密生效与流量防护效果
仅配置不等于防护到位，需从容器和宿主机两个层面交叉验证：
- 在容器内用 tcpdump -i eth0 -nn port 4789 抓包，应看不到应用层明文（如 HTTP header、SQL 查询），只看到 UDP 封装的加密载荷
- 在宿主机执行 ip xfrm state，确认存在活跃的 ESP SA（Security Association），例如含 enc: aes-gcm-16(16) 字样
- 若使用第三方 CNI（如 Cilium），则应关闭 Docker 原生加密，改用其 eBPF 层 TLS 或 WireGuard 隧道，避免叠加冗余或策略冲突
补充加固要点
加密只是基础，混合云场景还需配合身份与控制面防护：
- Swarm join token 必须使用 --secret 生成，并限制有效期；禁用长期有效的 manager/worker token
- etcd 或 Consul 等外部 KV 存储若用于非 Swarm 场景，务必启用 TLS 双向认证，防止网络配置被篡改
- 对跨云容器间敏感通信（如数据库连接、API 调用），仍建议在应用层叠加 TLS，形成“网络层 + 应用层”双重加密
