Host IPsec həmkarına çatır, Docker konteyneri çatmır

Linux maşınından uzaq hosta ping göndərirsiniz və cavab gəlir, yəni tunel işləyir. Yanınızdakı konteyner hələ də vaxt aşımına düşür və növbəti təbii addım Docker-i yenidən başlatmaqdır. Körpü şəbəkəsindəki konteyner adətən fərqli mənbə ünvanı ilə başlayır və hosta host tətbiqinin öz çıxış yolu ilə deyil, yönləndirmə ilə daxil olur, buna görə də uğurlu sınaq fərqli paketi ölçdü. Siyasət əsaslı strongSwan tuneli üçün, yönləndirilmiş paket quraşdırılmış IPsec siyasətinə uyğun gəlmədikdə, uzaq alt şəbəkəyə adi marşrut kifayət etmir.

Aşağıdakı bələdçi bir təyinatı iki mənbə üzərində izləyir və hər nəyisə dəyişməzdən əvvəl vəziyyəti oxuyur.

Bir təyinat və iki mənbədən başlayın

Əvvəlcə IP ilə tanınan bir xidmət seçin ki, eyni vaxtda DNS-i də ayırd etməyəsiniz. Üç faktı qeyd edin: konteynerin körpü prefiksi, işləyən host sorğusunun mənbə ünvanı və tunel üçün razılaşdırılmış yerli və uzaq trafik seçiciləri. Bu üç rəqəm bu simptomun demək olar ki, bütün hallarını izah edir.

Sonra uğursuz sorğunu konteynerin içindən təkrarlayın və onun həqiqətən istifadə etdiyi mənbəni tutun. Əgər bu ünvan yerli seçicinin əhatəsində deyilsə, nəticəni artıq bilirsiniz və konteyneri nə qədər yenidən yaratsanız da bu dəyişməyəcək.

Docker-ə toxunmadan əvvəl siyasətləri oxuyun

Yalnız oxuma host yoxlamaları marşrut qərarlarını, siyasət verilənlər bazasını və onların arasında seçim edən qaydaları əhatə edir:

ip rule show
ip route show table all
ip xfrm policy

Siyasət siyahısı seçiciləri və istiqaməti açarlarla dolu IPsec vəziyyət çıxarışına ehtiyac olmadan göstərir, buna görə onu bilete yapışdırmaq təhlükəsizdir. Host ünvanını əhatə edən, lakin körpü prefiksini əhatə etməyən yerli seçici axtarın. Üstəlik toqquşmanı da yoxlayın: uzaq təyinatı yerli sayan konteyner marşrutu heç vaxt gözlədiyiniz yönləndirilmiş paketi yaratmayacaq və günah tunelin üstünə düşür. Bu siyahını konteynerin mənbə ünvanının yanında saxlayın, çünki bu ikisi birlikdə bütün müqayisədir.

Əgər konteyner prefiksi yoxdursa, dayanın və başqa bir şeyi redaktə etməzdən əvvəl arxitekturaya qərar verin. Bu bələdçinin qalan hissəsi hansı mənbə ünvanının şəbəkədə görünməli olduğuna dair razılığınızı nəzərdə tutur.

Filtrləməni və tərcüməni sıra ilə yoxlayın

Docker-in Linux körpü firewall-u yönləndirməni IPsec-dən asılı olmayaraq bloklaya bilər. iptables arxa təminatı ilə FORWARD yolunu və DOCKER-USER qərarlarını yoxlayın, əvvəlki hökmdən sonra əlavə edilən qaydanın heç vaxt işləməyə biləcəyini xatırlayın. nftables arxa təminatı fərqli inteqrasiya edir, ona görə yalnız iptables nümunəsi adlandırdığı üçün DOCKER-USER zənciri yaratmayın; daemonunuzun həqiqətən hansı arxa təminatı istifadə etdiyini yoxlayın.

Sonra mənbə tərcüməsini yoxlayın. Geniş MASQUERADE qaydası əvvəl IPsec seçicisinə uyğun gələn paketi artıq uyğun gəlməyən pakete çevirə bilər və nasazlıq tam olaraq marşrut problemi kimi görünür. strongSwan yönləndirmə bələdçisi artıq siyasətə uyğun gələn trafik üçün belə tərcümədən əvvəl lazım olan NAT azadolmasını sənədləşdirir.

Bu azadolma tunelə əhatə olunmayan konteyner mənbəyi əlavə etməyin yolu deyil. O, yalnız dizayna artıq uyğun gələn trafiki qoruyur, buna görə əvvəlcə seçici və geri yol suallarını həll edin, sonra NAT və filtrləməni cavabla uyğunlaşdırın. Əgər azadolmanı genişləndirməyə başlasanız, dəyişməli olan şey seçicidir, NAT qaydası deyil.

Sonra marşrutla, yoxsa tərcümə ilə qərar verin

Marşrutlaşdırılmış konteyner alt şəbəkəsi hər iki tərəfin bu alt şəbəkəni qəbul etməsini və ona uzaq geri yol olmasını tələb edir, bu da adətən hər iki tərəfdə seçici dəyişikliyi və uzaq tərəfin sahibi ilə söhbət deməkdir. Qəsdən tərcümə edilmiş dizayn isə müvafiq axtarış mərhələsində siyasətin əhatə etdiyi ünvanı təqdim etməlidir, bu da adətən standart MASQUERADE yerinə dar, sənədləşdirilmiş qayda deməkdir.

Heç bir variant hostun işləyən tunelindən avtomatik çıxmır və aralarında seçim sahibi olan dizayn qərarıdır. Hansını seçdiyinizi yazın, çünki növbəti mühəndis bunu əks halda firewall sayğaclarından yenidən çıxaracaq.

Hibrid nasazlığa da diqqət yetirin: qayda dəstinin yarısı tərcümə olunub, yarısı yox, bu da təyinat portundan asılı olan, şəbəkə ilə heç bir əlaqəsi olmayan fasiləli uğur yaradır.

Yenidən başlatma ilə deyil, təzə bağlantı ilə yoxlayın

Dar firewall sayğaclarını və uzaq qəbuledicini izləyərkən təzə tətbiq bağlantısı istifadə edin ki, hər müşahidənin mənbəyi olsun. Docker-in yenidən başladılması qayda vəziyyətini dəyişə bilər və iş yüklərini də pozacaq, bu da əldə etmək istədiyiniz təmiz siqnalı sizə itirir.

Davamlı nəticə göstərə biləcəyiniz dörd ifadədir: konteyner mənbəyi, uyğun qorunan yol, icazə verilmiş yönləndirmə və geri gələn cavab. Dördü də doğru olduqda, konteyner həmkarına hostun çatdığı səbəbdən çatır.