此时我们就可以从远程主机上的 Docker 客户端访问这部主机的 2376 端口了。
DOCKER_HOST 环境变量
Docker 客户端默认的配置是访问本机的 Docker daemon，当你指定了 DOCKER_HOST 变量后，Docker 客户端会访问这个变量中指定的 Docker daemon。让我们回顾一下 docker-machine env 命令：
原来我们在前文中执行的 $ eval $(docker-machine env krdevdb) 命令就是在设置 DOCKER_HOST 环境变量。
解决安全问题
我们的 Docker daemon 监听了 tcp 端口，糟糕的是此时我们没有做任何的保护措施。因此任何 Docker 客户端都可以通过 tcp 端口与我们的 Docker daemon 交互，这显然是无法接受的。解决方案是同时启用 Docker daemon 和 Docker 客户端的 TLS 证书认证机制。这样 Docker daemon 和 Docker 客户端之间的通信会被加密，并且只有安装了特定证书的客户端才能够与对应的 Docker daemon 交互。
至此本文的铺垫部分终于结束了，接下来我们将讨论 Docker Machine 相关的内容。
Docker Machine create 命令
根据 Docker Machine 驱动的不同，create 命令执行的操作也不太一样，但其中有两步是我们在这里比较关心的：
docker-machine 会在您指定的主机上执行下面的操作：
安装 Docker，并进行配置。
生成证书保护 Docker 服务的安全。
配置 Docker daemon
Docker 的安装过程并没有什么秘密，这里不再赘述。我们重点关注 Docker daemon 的配置。仔细观察我们会发现，通过 docker-machine 安装的 Docker 在 /etc/systemd/system 目录下多出了一个 Docker 相关的目录：docker.service.d。这个目录中只有一个文件 10-machine.conf：
好吧，-H tcp://0.0.0.0:2376 出现在这里并没有让我们太吃惊。在我们做了巨多的铺垫之后，你应该觉得这是理所当然才是。–tls 开头的几个参数主要和证书相关，我们会在后面的安全设置中详细的介绍它们。让人多少有些疑惑的地方是上图中的 /usr/bin/docker。当前最新版本的 Docker Machine 还在使用旧的方式设置 Docker daemon，希望在接下来的版本中会有所更新。
这个配置文件至关重要，因为它会覆盖 Docker 默认安装时的配置文件，从而以 Docker Machine 指定的方式启动 Docker daemon。至此我们有了一个可以被远程访问的 Docker daemon。
生成证书
我们在 Docker daemon 的配置文件中看到四个以 –tls 开头的参数，分别是 –tlsverify、–tlscacert、–tlscert和 –tlskey。其中的 –tlsverify 告诉 Docker daemon 需要通过 TLS 来验证远程客户端。其它三个参数分别指定了一个 pem 格式文件的路径，按照它们指定的文件路径去查看一下：
