El socket de la ventana acoplable se puede configurar en cualquier puerto con la opción dockerd -H . Los puertos acoplables comunes que veo incluyen:

• 2375: socket docker sin cifrar, acceso raíz remoto sin contraseña al host
• 2376: tls socket encriptado, lo más probable es que este sea el puerto 4243 de sus servidores CI como una modificación del puerto https 443
• 2377: socket de modo de enjambre, para administradores de enjambre, no para clientes acoplables
• 5000: servicio de registro de la ventana acoplable
• 4789 y 7946: superposición de redes

Solo los dos primeros se configuran con dockerd -H , el modo swarm se puede configurar como parte de docker swarm init --listen-addr o docker swarm join --listen-addr .

Recomiendo encarecidamente deshabilitar el puerto 2375 y asegurar el zócalo de la ventana acoplable. Es trivial explotar de forma remota este puerto para obtener acceso completo a la raíz sin una contraseña remota. El comando para hacerlo es tan simple como:

 docker -H $your_ip:2375 run -it --rm \ --privileged -v /:/rootfs --net host --pid host busybox

Eso se puede ejecutar en cualquier máquina con un cliente docker para darle a alguien un shell raíz en su host con el sistema de archivos completo disponible en /rootfs, su red visible en ip a y todos los procesos visibles en ps -ef .

Para configurar la seguridad TLS en el socket de la ventana acoplable, consulte estas instrucciones. https://docs.docker.com/engine/security/https/