Docker: nema preostalih unaprijed definiranih skupova adresa tokom VPN sesije

Kvar je konkretan: Docker ne može pronaći prihvatljivu automatsku podmrežu za novu mostovnu mrežu. To ne znači da je mašini ponestalo adresa, niti da je VPN pokvaren. Dijagnozu određuju dva pitanja: koje kandidatske blokove daemon vidi i koje od njih njegov alokator isključuje u ovom okruženju. Prođite kroz njih tim redom, jer drugo pitanje nema smisla dok prvo nije odgovoreno.

Potvrdite šta je neuspjelo prije nego što bilo šta promijenite

Izvršite korake ispod na hostu koji pokreće daemon. Ljuska koja razgovara s udaljenim kontekstom opisuje drugu mašinu, a samo ta greška može potrošiti sat vremena.

Zabilježite i verziju Engine u tiketu istovremeno. Svaka heuristika u ostatku ovog priručnika vezana je za verziju, a tvrdnja bez verzije je glasina.

Prebrojite dodjele koje već imate

Izlistajte mreže, pa pregledajte one koje su važne: docker network ls, zatim docker network inspect NETWORK_NAME. Pročitajte njihove IPAM podmreže i kontejnere priključene na svaku. Nekoliko Compose projekata troši više blokova nego što broj njihovih kontejnera sugerira, jer svaki projekt teži stvaranju vlastite zadane mreže. Zaustavljeni kontejner ne oslobađa dodjelu svoje mreže.

Provjerite i konfiguraciju skupa, jer zadani skup ima osnovni raspon i veličinu prefiksa po mreži. Velike dodjele po mreži brže iscrpljuju dostupne blokove, a to je činjenica o kapacitetu, ne problem rutiranja.

Zapišite broj. To je osnovna linija koja vam kaže je li sljedeća promjena pomogla.

Uporedite kako daemon vidi rute

VPN može uticati na odabir kandidata, ali konkretna implementacija odlučuje kako. U Moby 28.2.2 na Linuxu InferReservedNetworks prikuplja adrese imenskih servera i određene on-link IPv4 rute i ne rezerviše jednostavno svaku rutu iz svake tablice. Prikupljene link rute također isključuju neodređenu odredišnu adresu, pa jedna ruta 0.0.0.0/1 sama po sebi ne rezerviše svaku adresu. Drugi široki on-link prefiks, poput 128.0.0.0/1, može presjeći poznate kandidatske raspone 172 i 192.

Uporedite ip -4 route show table all prije i nakon povezivanja VPN-a, na hostu daemona. Razlika je dokaz, a verzija je obim tvrdnje.

Ne generalizirajte heuristiku jednog izdanja na svako izdanje. Tako odgovor s foruma postaje promjena politike.

Odaberite najmanju ispravku koja radi

Ako potvrđena neiskorištena mreža drži blok koji vam treba, planirajte njeno ciljano umirovljenje s vlasnikom umjesto širokog podrezivanja. Za novu mrežu, izričito pregledana neiskorištena podmreža potpuno izbjegava ovisnost o automatskom odabiru. Ta podmreža ipak mora izbjegavati stvarne Docker, LAN i potrebne VPN destinacije, jer privatno ne znači sigurno. Rutiranje stvarnog udaljenog prefiksa zamijenilo bi grešku dodjele za prekinut pristup.

Promjena default-address-pools je šira politika o budućim dodjelama. Odaberite bazu bez sukoba i odgovarajuću dodijeljenu veličinu, spojite je s postojećim postavkama daemona i planirajte dokumentirani utjecaj ponovnog pokretanja. Postojeće mreže se ne prenumeriraju tiho.

Ne isključujte slanje kompanijskih ruta da bi dodjela uspjela. Izričit plan adresa obično rješava lokalni problem bez slabljenja obvezne politike.

Prihvatite dodjelu i rutiranje odvojeno

Nakon promjene pregledajte podmrežu koju je Docker stvarno stvorio i testirajte aplikacijine VPN i lokalne zavisnosti. Uspješna dodjela i ispravno rutiranje u radu dvije su različite provjere prihvatanja, a prolazak prve nije dokaz za drugu. Ako aplikacija ne može doći do resursa iza tunela, imate problem rutiranja koji je greška skupa skrivala. Zabilježite oba rezultata u tiket.

Čuvajte razliku ruta i broj skupa uz zapis o promjeni, jer sljedeće ažuriranje VPN klijenta može promijeniti prvo bez diranja Dockera.

Priručnik je potpun kada neko drugi može ponoviti te dvije provjere i dobiti isti odgovor.