必须配置tls加密认证，仅设docker_host不安全。需在远程机daemon.json中启用tlsverify、指定ca/服务端证书路径并监听2376端口；本地需复制客户端证书三件套，设置docker_host、docker_tls_verify=1和docker_cert_path环境变量。
要让本地 Docker 客户端安全连接远程物理机上的 Docker 守护进程，关键不是只设 DOCKER_HOST，而是必须配合 TLS 加密认证——否则裸 TCP（如 tcp://x.x.x.x:2375）等于把 Docker 控制权暴露在公网，极不安全。
远程物理机：启用 TLS 验证的 Docker daemon
在远程物理机上编辑 /etc/docker/daemon.json，确保包含以下最小 TLS 配置：
-
"hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]—— 开放 TLS 端口 2376（非 2375） "tlsverify": true-
"tlscacert": "/etc/docker/ca.pem"—— CA 根证书路径 -
"tlscert": "/etc/docker/server-cert.pem"—— 服务端证书 -
"tlskey": "/etc/docker/server-key.pem"—— 服务端私钥
证书文件需提前生成并正确部署。配置完成后运行：sudo systemctl daemon-reload && sudo systemctl restart docker
本地机器：准备客户端证书与环境变量
将远程机上的 ca.pem、cert.pem、key.pem（注意：这是客户端证书对，非服务端那套）复制到本地某目录，例如 ~/.docker/certs。
然后在本地终端设置三个环境变量（顺序和大小写敏感）：
-
export DOCKER_HOST=tcp://<remote-ip>:2376</remote-ip>—— 指向远程物理机 IP 和 TLS 端口 -
export DOCKER_TLS_VERIFY=1—— 启用 TLS 验证 -
export DOCKER_CERT_PATH=$HOME/.docker/certs—— 指向含 client cert/key/ca 的目录
建议写入 ~/.bashrc 或 ~/.zshrc 并执行 source 生效。
验证是否成功且安全
运行 docker info，若返回远程物理机的信息且无 TLS 报错，说明连接成功；若提示 x509: certificate signed by unknown authority，说明 CA 证书未被信任或路径错误。
还可检查实际通信是否加密：echo $DOCKER_HOST 应为 tcp://...，env | grep -i tls 应显示 DOCKER_TLS_VERIFY=1 和 DOCKER_CERT_PATH 路径。
为什么不能只设 DOCKER_HOST？
仅设 DOCKER_HOST=tcp://x.x.x.x:2375 会绕过所有加密和身份校验，Docker CLI 将以明文传输指令和镜像数据，任何中间节点都可劫持、篡改甚至删除容器。TLS 是生产环境远程连接的强制前提，不是可选项。
