Mae’r gwesteiwr yn cyrraedd y cymar IPsec, nid y cynhwysydd Docker

Rydych yn pingio’r gwesteiwr pell o’r blwch Linux ac mae’n ateb, felly mae’r twnnel yn gweithio. Mae’r cynhwysydd wrth eich ochr yn dal i amseru allan, a’r cam nesaf naturiol yw ailgychwyn Docker. Mae cynhwysydd ar rwydwaith pont fel arfer yn dechrau â chyfeiriad ffynhonnell gwahanol ac yn dod i mewn i’r gwesteiwr drwy anfon ymlaen yn hytrach na thrwy lwybr allbwn yr ymgais ar y gwesteiwr, felly mesurodd y prawf llwyddiannus becyn gwahanol. Ar gyfer twnnel strongSwan sy’n seiliedig ar bolisi, nid yw llwybr cyffredin tuag at yr is-rwydwaith pell yn ddigon pan fydd y pecyn a anfonir ymlaen yn methu cyfateb i’r polisi IPsec sydd wedi’i osod.

Mae’r daith isod yn dilyn un cyrchfan ar draws dwy ffynhonnell, gan ddarllen y cyflwr cyn newid unrhyw beth.

Dechreuwch o un cyrchfan a dwy ffynhonnell

Dewiswch wasanaeth hysbys yn ôl IP yn gyntaf, fel nad ydych yn dadfygio DNS ar yr un pryd. Cofnodwch dri ffaith: rhagddodiad pont y cynhwysydd, cyfeiriad ffynhonnell y cais gwesteiwr a lwyddodd, a’r detholwyr traffig lleol a phell a drafodwyd ar gyfer y twnnel. Mae’r tri rhif hynny yn esbonio bron bob achos o’r symptom hwn.

Yna ailadroddwch y cais a fethodd o fewn y cynhwysydd a chipiwch y ffynhonnell y mae’n ei defnyddio mewn gwirionedd. Os nad yw’r detholydd lleol yn cynnwys y cyfeiriad hwnnw, rydych eisoes yn gwybod y canlyniad, ac ni fydd unrhyw ail-greu cynhwysydd yn newid hynny.

Darllenwch y polisïau cyn cyffwrdd Docker

Mae gwiriadau gwesteiwr darllen-yn-unig yn cynnwys y penderfyniadau llwybro, y gronfa ddata polisi a’r rheolau sy’n dewis rhyngddynt:

ip rule show
ip route show table all
ip xfrm policy

Mae’r rhestr polisi yn dangos detholwyr a chyfeiriad heb fod angen dadlwythiad cyflwr IPsec yn llawn deunydd allweddol, a dyna pam ei bod yn ddiogel ei gludo i docyn. Chwiliwch am ddetholydd lleol sy’n cynnwys cyfeiriad y gwesteiwr ond nad yw’n cynnwys rhagddodiad y bont. Gwiriwch hefyd am orgyffwrdd: ni fydd llwybr cynhwysydd sy’n trin y gyrchfan bell fel un lleol byth yn cynhyrchu’r pecyn a anfonir ymlaen rydych yn ei ddisgwyl, a’r twnnel sy’n cael y bai. Cadwch y rhestr honno wrth gyfeiriad ffynhonnell y cynhwysydd, oherwydd y ddau gyda’i gilydd yw’r gymhariaeth gyfan.

Os yw rhagddodiad y cynhwysydd ar goll, stopiwch a phenderfynu’r bensaernïaeth cyn golygu unrhyw beth arall. Mae gweddill y daith hon yn tybio eich bod wedi cytuno pa gyfeiriad ffynhonnell ddylai ymddangos ar y weiren.

Gwiriwch hidlo a chyfieithu yn eu trefn

Gall wal dân pont Linux Docker rwystro anfon ymlaen yn annibynnol ar IPsec. Gyda’r backend iptables, archwiliwch lwybr FORWARD a phenderfyniadau DOCKER-USER, gan gofio na fydd rheol a ychwanegir ar ôl dyfarniad cynharach byth yn rhedeg o gwbl. Mae’r backend nftables yn integreiddio’n wahanol, felly peidiwch â chreu cadwyn DOCKER-USER dim ond oherwydd bod enghraifft iptables wedi’i henwi; gwiriwch pa backend y mae’ch daemon yn ei ddefnyddio mewn gwirionedd.

Yna gwiriwch gyfieithu ffynhonnell. Gall rheol MASQUERADE eang droi pecyn a oedd yn cyfateb i ddetholydd IPsec yn un nad yw’n cyfateb mwyach, ac mae’r methiant yn edrych yn union fel problem llwybro. Mae’r canllaw anfon ymlaen strongSwan yn dogfennu’r eithriad NAT sydd ei angen cyn cyfieithu o’r fath ar gyfer traffig sy’n cyfateb i bolisi yn barod.

Nid yw’r eithriad hwnnw’n ffordd i ychwanegu ffynhonnell cynhwysydd heb ei chynnwys at y twnnel. Dim ond traffig sy’n ffitio’r dyluniad yn barod y mae’n ei amddiffyn, felly setlwch gwestiynau’r detholydd a’r llwybr dychwelyd yn gyntaf, yna gwnewch i NAT a hidlo gytuno â’r ateb. Os ydych yn ehangu’r eithriad yn lle hynny, y detholydd yw’r peth i’w newid, nid y rheol NAT.

Yna penderfynwch rhwng llwybro a chyfieithu

Mae is-rwydwaith cynhwysydd wedi’i llwybro yn gofyn bod y ddau gymar yn derbyn yr is-rwydwaith honno a bod llwybr dychwelyd pell yn ôl iddi, sy’n golygu fel arfer newid detholydd ar y ddau ben a sgwrs â pherchennog yr ochr bell. Yn lle hynny, rhaid i ddyluniad a gyfieithir yn fwriadol gyflwyno cyfeiriad a gwmpesir gan y polisi ar y cam chwilio perthnasol, sy’n golygu fel arfer rheol gul a dogfennedig yn hytrach na MASQUERADE diofyn.

Nid yw’r un o’r ddau drefniant yn dilyn yn awtomatig o dwnnel gweithiol y gwesteiwr, ac mae dewis rhyngddynt yn benderfyniad dylunio sydd â pherchennog. Ysgrifennwch pa un a ddewiswyd gennych, oherwydd fel arall bydd y peiriannydd nesaf yn ei ail-ddilladu o chowntwyr y wal dân.

Gwyliwch am y methiant hybrid hefyd: hanner y set rheolau wedi’i chyfieithu a hanner heb, sy’n cynhyrchu llwyddiant ysbeidiol sy’n dibynnu ar borth cyrchfan yn hytrach nag ar unrhyw beth am y rhwydwaith.

Gwiriwch â chysylltiad newydd, nid ag ailgychwyn

Defnyddiwch gysylltiad ymgais newydd wrth wylio chowntwyr cul y wal dân a’r derbynnydd pell, fel bod gan bob arsylwi ffynhonnell. Gall ailgychwyn Docker newid cyflwr rheolau a bydd hefyd yn tarfu ar lwythi gwaith, sy’n costio’r signal glân yr oeddech yn ceisio ei gael.

Y canlyniad parhaus yw pedwar datganiad y gallwch eu dangos: ffynhonnell y cynhwysydd, y llwybr gwarchodedig cyfatebol, anfon ymlaen a ganiateir, ac ateb sy’n dod yn ôl. Pan fydd y pedwar yn dal, mae’r cynhwysydd yn cyrraedd y cymar am yr un rheswm ag y mae’r gwesteiwr.