docker搭建本地免密仓库、私有仓库registry加密访问控制（身份验证）

今天药忘吃喽~ 2022-01-21 08:07 748阅读 0赞

环境：

*  RHEL7.3
 *  docker已配置阿里云镜像加速器
 *  docker1主机能上网

### 何为仓库 ###

Docker 仓库是用来包含镜像的位置,Docker提供一个注册服  
务器(Register)来保存多个仓库,每个仓库又可以包含多个  
具备不同tag的镜像。

Docker运行中使用的默认仓库是 Docker Hub 公共仓库。

为什么要搭建私有仓库？

docker hub虽然方便,但是还是有限制

需要internet连接,速度慢
    所有人都可以访问
    由于安全原因企业不允许将镜像放到外网

好消息是docker公司已经将registry开源,我们可以快速构建企业私有仓库  
如何搭建私有仓库？

第一种用docker命令拉取docker registry，将docker的仓库镜像拉取到本地，在本地构建一个docker仓库，这种方法要自己对仓库进行权限管理，没有图形化页面操作，命令操作比较繁琐，另外在dockertoolbox下搭建私有镜像库出现的问题比较多，建议还是安装linux系统进行搭建。
    第二种集成harbor，docker-compose可以进行图形化页面仓库以及图形化权限管理，harbor也集成了mysql和log。

我们今天首先给大家讲解一下docker registry私人仓库的搭建和使用！！！  
一、实验环境及原理

*  selinux和firewalld状态为disabled
 *  docker1（Docker） 172.25.70.1

#### Registry工作原理 ####

一次docker pull 或 push背后发生的事情

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70]  
index服务主要提供镜像索引以及用户认证的功能。当下载一个镜像的时候,首先会去index服务上做认证,然后查找镜像所在的registry的地址并放回给docker客户端,docker客户端再从registry下载镜像,在下载过程中 registry会去index校验客户端token的合法性,不同镜像可以保存在不同的registry服务上,其索引信息都放在index服务上。

Docker Registry有三个角色,分别是index、registry和registryclient。

*  index  
    负责并维护有关用户帐户、镜像的校验以及公共命名空间的信息。
 *  Web UI  
    元数据存储  
    认证服务  
    符号化
 *  registry  
    是镜像和图表的仓库,它不具有本地数据库以及不提供用户认证,  
    通过Index Auth service的Token的方式进行认证。
 *  Registry Client  
    Docker充当registry客户端来维护推送和拉取,以及客户端的授权。

二、下载registry镜像到docker仓库中，并运行容器

下载镜像

[root@docker1 ~]# docker pull registry:2

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 1]  
运行容器：

#查看所有容器
    [root@docker1 ~]# docker ps -a
    CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES
    [root@docker1 ~]# docker run -d --name registry -p 5000:5000 -v /opt/registry:/var/lib/registry registry:2
    e1c30d441331b11867dc335d67d8842ffe7156b129457ebd0f10f37d13e8a560
    [root@docker1 ~]# docker ps
    CONTAINER ID        IMAGE               COMMAND                  CREATED             STATUS              PORTS                    NAMES
    e1c30d441331        registry:2          "/entrypoint.sh /etc…"   11 seconds ago      Up 10 seconds       0.0.0.0:5000->5000/tcp   registry
    #查看5000端口是否开启
    [root@docker1 ~]# netstat -antlp
    Active Internet connections (servers and established)
    Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
    tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1331/sshd           
    tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      1981/master         
    tcp        0      0 172.25.70.1:22          172.25.70.250:33312     ESTABLISHED 2024/sshd: root@pts 
    tcp6       0      0 :::22                   :::*                    LISTEN      1331/sshd           
    tcp6       0      0 ::1:25                  :::*                    LISTEN      1981/master         
    tcp6       0      0 :::5000                 :::*                    LISTEN      2853/docker-proxy

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 2]  
三、上传localhost:5000/nginx（要上传的镜像随便选，但是/前面必须是本地localhost或localhost:5000））

首先设定nginx镜像的标签为localhost:5000/nginx，本地镜像在命名时需要加上仓库的ip和端口

[root@docker1 ~]# docker tag nginx:latest localhost:5000/nginx
    [root@docker1 ~]# docker images localhost:5000/nginx

![在这里插入图片描述][20190609093207287.png]  
上传镜像到我们搭建的私人仓库中

[root@docker1 ~]# docker push localhost:5000/nginx

![在这里插入图片描述][20190609093325747.png]  
我们可以看到/opt/registry目录下有相应的registry私有仓库的镜像数据（分层存储）  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 3]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 4]  
四、测试：下载localhost:5000/nginx

在下载之前，  
1.我们需要先获取registry仓库有的镜像：

[root@docker1 registry]# curl http://localhost:5000/v2/_catalog
    { "repositories":["nginx"]}
    [root@docker1 registry]#

2.获取某个镜像的标签列表

[root@docker1 registry]# curl http://172.25.70.1:5000/v2/nginx/tags/list
    { "name":"nginx","tags":["latest"]}

3.我们删除原有的镜像，方便看到效果

[root@docker1 registry]# docker rmi nginx:latest
    [root@docker1 registry]# docker images
    [root@docker1 registry]# docker rmi localhost:5000/nginx:latest 
    [root@docker1 registry]# docker images

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 5]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 6]  
4.从我们搭建的私有仓库下载

[root@docker1 registry]# docker pull localhost:5000/nginx
    [root@docker1 registry]# docker images localhost:5000/nginx
    [root@docker1 registry]# docker tag localhost:5000/nginx:latest nginx
    [root@docker1 registry]# docker images

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 7]  
五、配置私有仓库registry加密访问控制证书  
1、创建certs证书，生成服务器私钥

[root@docker1 registry]# cd /tmp/docker/
    [root@docker1 docker]# mkdir certs
    [root@docker1 docker]# openssl req -newkey rsa:4096 -nodes -sha256 -keyout certs/redhat.org.key -x509 -days 365 -out certs/redhat.org.crt

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 8]  
2、写入本地解析

[root@docker1 docker]# vim /etc/hosts
    [root@docker1 docker]# ping redhat.org

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 9]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 10]  
3、启动仓库

[root@docker1 docker]# docker rm -f registry 
    registry
    [root@docker1 docker]# docker run -d \
    > --restart=always \
    > --name registry \
    > -v /tmp/docker/certs:/certs \
    > -e REGISTRY_HTTP_ADDR=0.0.0.0:443 \
    > -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/redhat.org.crt \
    > -e REGISTRY_HTTP_TLS_KEY=/certs/redhat.org.key \
    > -p 443:443 \
    > -v /opt/registry:/var/lib/registry \
    > registry:2
    f0447649afe96ae2508aa7a860178b961a8a4d67a9c1e534cba5f4a03db337ec

参数说明:  
\-d:后台静默运行容器。  
–restart:设置容器重启策略。  
–name:命名容器。  
\-v:挂载信息  
\-e REGISTRY\_HTTP\_ADDR:设置仓库主机地址格式。  
\-e REGISTRY\_HTTP\_TLS\_CERTIFICATE:设置环境变量告诉容器证书的位置。  
\-e REGISTRY\_HTTP\_TLS\_KEY:设置环境变量告诉容器私钥的位置。  
\-p:将容器的 443 端口映射到Host主机的 443 端口  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 11]  
4、将certs证书放到我们的docker数据目录

[root@docker1 docker]# cd /etc/docker/
    [root@docker1 docker]# mkdir certs.d
    [root@docker1 docker]# cd certs.d/
    [root@docker1 certs.d]# mkdir redhat.org
    [root@docker1 certs.d]# cd redhat.org/
    [root@docker1 redhat.org]# cp /tmp/docker/certs/redhat.org.crt ca.crt
    [root@docker1 redhat.org]# ls
    ca.crt
    [root@docker1 redhat.org]# pwd
    /etc/docker/certs.d/redhat.org

5、上传镜像

修改镜像标签

[root@docker1 ~]# docker load -i game2048.tar
    [root@docker1 ~]# docker tag game2048:latest redhat.org/game2048
    [root@docker1 ~]# docker images

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 12]  
上传镜像

[root@docker1 redhat.org]# docker push redhat.org/game2048

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 13]  
6、客户端测试（server2）：  
server2上编写/etc/hosts文件，增加域名解析；获取证书；并进行测试：[下载redhat.org/game2048。][redhat.org_game2048]

1、安装docker

[root@docker2 ~]# ls
    container-selinux-2.21-1.el7.noarch.rpm
    docker-ce-18.06.1.ce-3.el7.x86_64.rpm
    libsemanage-2.5-8.el7.x86_64.rpm
    libsemanage-python-2.5-8.el7.x86_64.rpm
    pigz-2.3.4-1.el7.x86_64.rpm
    policycoreutils-2.5-17.1.el7.x86_64.rpm
    policycoreutils-python-2.5-17.1.el7.x86_64.rpm
    [root@docker2 ~]# yum install -y *

2、启动docker

[root@docker2 ~]# systemctl start docker.service && systemctl enable docker.service 
    Created symlink from /etc/systemd/system/multi-user.target.wants/docker.service to /usr/lib/systemd/system/docker.service.

3、创建放置证书的目录

[root@docker2 ~]# cd /etc/docker/
    [root@docker2 docker]# mkdir certs.d/redhat.org -p
    [root@docker2 docker]# cd certs.d/redhat.org/
    [root@docker2 redhat.org]# pwd
    /etc/docker/certs.d/redhat.org

在server1端将证书同步过来

[root@docker1 docker_rpm]# cd /etc/docker/certs.d/redhat.org/
    [root@docker1 redhat.org]# scp ca.crt docker2:/etc/docker/certs.d/redhat.org/
    root@docker2's password: 
    ca.crt                    100% 2098     2.1KB/s   00:00

![在这里插入图片描述][20190609111304360.png]  
4、编写/etc/hosts文件，增加域名解析

[root@docker2 redhat.org]# vim /etc/hosts

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 14]  
测试：[下载redhat.org/game2048][redhat.org_game2048 1]

[root@docker2 redhat.org]# docker pull redhat.org/game2048

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 15]  
服务端可以上传镜像，也可以下载镜像；客户端如果有证书，当然可以上传镜像，也可以下载镜像。

六、 通过基本身份验证实现私有仓库registry加密访问控制  
1、创建certs证书，生成服务器私钥（第五步做过了）  
2、生成鉴权密码文件

[root@docker1 docker]# mkdir auth
    [root@docker1 docker]# docker run --rm --entrypoint htpasswd registry:2 -Bbn ma redhat > auth/htpasswd
    [root@docker1 docker]# cat auth/htpasswd

![在这里插入图片描述][20190609111822489.png]  
–entrypoint string:覆盖镜像默认的ENTRYPOINT，之前我们说过，ENTRYPOINT是不可以被覆盖的，如果实在要覆盖需要使用此参数

\-B:强制密码加密  
\-b:使用命令行中的密码而不是提示输入密码  
\-n:不更新加密文件，只将加密后的用户名密码显示在屏幕上  
3、删除之前创建的仓库registry（映射到本地主机的443端口），防止冲突。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 16]  
4、启动容器

[root@docker1 docker]# docker run -d --restart=always --name registry -v /tmp/docker/certs:/certs -e REGISTRY_HTTP_ADDR=0.0.0.0:443 -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/redhat.org.crt -e REGISTRY_HTTP_TLS_KEY=/certs/redhat.org.key -p 443:443 -v /opt/registry:/var/lib/registry -v /tmp/docker/auth:/auth -e "REGISTRY_AUTH=htpasswd" -e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd registry:2
    71726ea4615dff18cad337bbd402f7d9a030fa28351f227b9a28739c77c6ad47
    [root@docker1 docker]# docker ps

> \#参数解释：  
> REGISTRY\_AUTH:验证方式,固定写法  
> REGISTRY\_AUTH\_HTPASSWD\_REALM:验证域名,固定写法  
> REGISTRY\_AUTH\_HTPASSWD\_PATH:容器中验证文件的路径，要写文件的路径

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 17]  
5、测试

先不登陆，直接上传镜像：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 18]  
可以看到被拒绝了

先登录，在上传：

[root@docker1 docker]# docker login redhat.org
    [root@docker1 docker]# pwd
    [root@docker1 docker]# docker push redhat.org/ubuntu

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 19]  
可以看到登录后，才可以上传！！！

登陆成功之后，会生成，相应的认证文件。以保证，下次不用再登录。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 20]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70]: /images/20220121/8c5d0b70481c4ddd9565092059475351.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 1]: /images/20220121/b35cc750e4cd418c95549eb5527967b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 2]: /images/20220121/dc554c5f8f494f42a82024986972e07e.png
[20190609093207287.png]: /images/20220121/cc8d1bce89da42aebfd01d42f3b7171c.png
[20190609093325747.png]: /images/20220121/a409981944c144889e26a994644d0599.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 3]: /images/20220121/cd7f2997843841b3a20fb4dbc59ff6dd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 4]: /images/20220121/7033554ea87941ca93415b7deaf8feb2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 5]: /images/20220121/50b54075e02b46bab22195574348d845.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 6]: /images/20220121/9d9ac764d971475ea1b27905a9b5dad4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 7]: /images/20220121/51f96ce071ab49529105d39299f68d30.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 8]: /images/20220121/d03480d2093b4e57be2bfd02aac2136c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 9]: /images/20220121/c54618cd59f24ee7943535fcf3214710.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 10]: /images/20220121/617a0cc9e6504fd0af99a8051bcc1f98.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 11]: /images/20220121/d241c84a9e6b449488a5a574fd023fe3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 12]: /images/20220121/5f77ace4f5bc4be1a1c6df4cc374ab38.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 13]: /images/20220121/0b97eca0117a43a0a0972a61646cf7ba.png
[redhat.org_game2048]: http://xn--redhat-hp7iw185b.org/game2048%E3%80%82
[20190609111304360.png]: /images/20220121/446111dd2e6b4a3c9edd259849bd868b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 14]: /images/20220121/f0119b7141204a13a80f7c6610388e4f.png
[redhat.org_game2048 1]: http://xn--redhat-hp7iw185b.org/game2048
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 15]: /images/20220121/8d906366229740dba6269418db303f7e.png
[20190609111822489.png]: /images/20220121/6ec2bde71b8d492e85ad673dc100d8fd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 16]: /images/20220121/c8f876d899de44feb7e925184244194f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 17]: /images/20220121/d66781a208794d4fba8147062ddd2143.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 18]: /images/20220121/73b018c357534f7d982a8d2620f9a239.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 19]: /images/20220121/e321ff2bac184d98b72c4c9a2f7bc65f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQzNTcwMzY5_size_16_color_FFFFFF_t_70 20]: /images/20220121/a5fad67b8adc41fbaaf72759abaf0aa0.png