在Rootless Docker环境下部署Beszel-Agent的技术实践

背景介绍

Beszel-Agent是一个基于Docker的SSH服务管理工具，它能够帮助用户通过SSH协议管理和监控容器环境。在实际生产环境中，出于安全考虑，很多用户会选择以Rootless模式运行Docker。本文详细记录了在Rootless Docker环境下成功部署Beszel-Agent的技术实践过程。

核心问题分析

在Rootless Docker环境中部署Beszel-Agent时，主要遇到了两个技术挑战：

1. 网络连接问题：使用默认的host网络模式时，容器无法正确暴露服务端口，导致外部无法连接
2. Docker套接字访问：需要正确映射Rootless Docker特有的套接字路径

解决方案实现

网络配置调整

通过对比测试发现，在Rootless模式下直接使用network_mode: host并不能自动暴露服务端口。解决方案是：

1. 移除network_mode: host配置
2. 显式声明端口映射：

ports:
  - "45876:45876"

Docker套接字映射

Rootless Docker使用用户空间套接字，需要正确映射：

volumes:
  - /run/user/1001/docker.sock:/var/run/docker.sock:ro

完整配置示例

services:
  beszel-agent:
    image: "henrygd/beszel-agent"
    container_name: "beszel-agent"
    restart: unless-stopped
    volumes:
      - /run/user/1001/docker.sock:/var/run/docker.sock:ro
    ports:
      - "45876:45876"
    environment:
      PORT: 45876
      KEY: "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAILfTKz5Uw+IZo+rulOEbgGl2ngz9e8adrfOpvRdFLD6p"

注意事项

1. 网络接口检测：移除host网络模式后，需要确认Beszel-Agent仍能正确检测到网络接口
2. 日志检查：建议定期检查PocketBase中的日志，确保服务正常运行
3. 环境变量：如需连接Rootless Docker，可设置DOCKER_HOST=unix:///run/user/1001/docker.sock

总结

通过调整网络配置和正确映射Docker套接字，我们成功在Rootless Docker环境中部署了Beszel-Agent。这一实践不仅解决了服务连接问题，也为其他需要在Rootless环境下运行的容器服务提供了参考方案。对于安全要求较高的生产环境，这种部署方式能够在不牺牲功能的前提下，提供更好的安全隔离性。