VPN-konfigurasie oorleef die herskeping van 'n houer net as jy dit monteer
'n Lêer wat in 'n lopende houer geredigeer word, woon in 'n laag wat verdwyn. Vergelyk bindmonterings, volumes en geheime, herskep dan en verifieer vier dinge.
Jy redigeer die WireGuard-konfigurasie in 'n lopende houer, dit werk, en die volgende beeldopdatering vee dit uit. Niks was verkeerd opgestel nie. Die lêer het in die houer se skryfbare laag gewoon, wat net vir daardie houerinstansie bestaan. Die vergelyking wat saak maak, is nie watter gereedskap om te gebruik nie, maar watter insette jou ontplooiing verklaar. Enigiets wat jy met die hand geredigeer het, is 'n inset waarvan die ontplooiing nie weet nie.
Twee soorte toestand, een daarvan is wegwerpbaar
'n Houer het 'n skryfbare laag vir veranderinge tydens looptyd, en daardie laag word weggegooi wanneer die houer vervang word. Dit is nie 'n konfigurasiewinkel nie en dit is nie 'n rugsteun nie. Die beeld plus die verklaarde insette is die hele definisie van wat loop.
Vra watter van jou VPN-lêers verklaarde insette is en watter ongelukke:
docker diff wg-vpn
docker inspect --format '{{json .Mounts}}' wg-vpnDie diff lys wat in die skryfbare laag verander het, dit is presies die stel dinge wat sal verdwyn. Die monteringlys wys wat oorleef. Om die twee te vergelyk beantwoord die vraag voordat jy iets verloor.
Bindmontering, benoemde volume of geheim: wat elkeen beskerm
Al drie kan 'n VPN-profiel hou, en hulle verskil in wie dit kan lees en wat by vervanging gebeur.
| Mechanism | Survives recreation | Who can read it |
|---|---|---|
| Writable layer | No | Anyone with container access, until it is gone |
| Bind mount | Yes, while the host path exists | Whatever the host permissions allow |
| Named volume | Yes, until the volume is removed | Managed by the runtime |
| Secret | Yes, as a declared input | The container process, by design |
Bindmontering karteer 'n gasheerspad, dus is die lêer so beskerm soos daardie pad en so sigbaar as wat die gasheer se regte toelaat. 'n Benoemde volume word deur die looptyd bestuur en oorleef die verwydering van die houer, wat dit die veiliger verstek maak vir toestand wat die ontplooiing besit. 'n Geheime-meganisme is vir materiaal wat jy nie in 'n beeld of 'n omgewingsveranderlike wil hê nie.
Moenie elke omgewingsveranderlike en gasheerlêer as gelykwaardige beskerming behandel nie, want hulle is nie.
Redigeer binne die houer is die valstrik
Die valstrik is nie die gereedskap nie, dit is die rigting van die redigering. 'n Verandering wat binne 'n lopende houer gemaak word, is onsigbaar vir die ontplooiing, so die volgende herskeping draai dit stilweg terug en die simptoom lyk soos 'n regressie in die beeld. As jy daar 'n verandering moet maak om te diagnoseer, kopieer dit dadelik uit en plaas dit in die verklaarde inset. Herskep dan om te bewys dat die ontplooiing dit reproduiseer.
'n Profiel kan private sleutels en rekeningmateriaal dra, wat 'n rugsteun van daardie lêer 'n geheimehanteringstaak maak eerder as 'n lêerkopie. Hou eienaarskap en leestoegang beperk tot die houer se werklike proses, eerder as om 'n gasheergids oop te maak sodat 'n toestemmingsfout verdwyn.
Daardie opening is hoe 'n gerief in die houer 'n blootstelling van die gasheer word.
Herskep doelbewus en verifieer dan vier dinge
Teken die beeldweergawe, die vereiste toestel en vermoëns, die netwerkaansluiting en die blywende insette aan. Die toestel- en vermoëlys is veral belangrik vir 'n VPN-houer, want die tonnel het die netwerktoestel en die voorreg nodig om dit op te stel.
Bevestig watter gegenereerde looptydtoestand herbou eerder as gestoor moet word. Sleutels wat die tonnel by die eerste begin gegenereer het, is toestand, en of jy hulle hou of hergenereer is 'n besluit met gevolge vir elke eweknie wat die ou openbare sleutel ken.
Verifieer ná 'n beheerde herskeping identiteit, roetering, DNS en die vereiste foutblokkering. 'n Proses wat sonder foute begin, bewys nie een van daardie vier dinge nie. Kontroleer dit terwyl die tonnel op is en weer nadat jy dit gestop het, want die foutblokkering wys hom net wanneer die tonnel weggaan.
Hou 'n herstelkopie buite die houer
Hou 'n herstelkopie wat onafhanklik van die houer leef, en toets die terugry daarvan deur die gedokumenteerde proses. 'n Ongetoetste rugsteun van 'n VPN-profiel is 'n hoop, veral wanneer die herstelpad toestemmings behels wat die houerproses nodig het.
As 'n houer wat die VPN besit, vervang word, koördineer die toepassings wat sy netwerkstapel deel onder die looptyd se ondersteunde lewensiklus.
Daardie koördinasie is die verskil tussen 'n herbegin en 'n onderbreking. Die ontplooiing moet beskryf waar die konfigurasie vandaan kom, en die volume-dokumentasie is die plek om te kyk wat die looptyd werklik blywend maak.