Switsh lladd ar gyfer cynhwysydd VPN: atal y traffig pan fydd yn cau

Nid oes gan gynhwysydd cymhwysiad sy’n rhannu enw-fylch rhwydwaith cynhwysydd VPN unrhyw ryngwyneb ei hun, felly mae’n hawdd tybio na all anfon unrhyw beth pan fydd y twnnel yn methu. Mae’r dybiaeth honno’n anghywir yn y modd methu sy’n cyfrif. Os yw’r broses VPN yn marw tra bod yr enw-fylch yn goroesi, mae’r cymhwysiad yn cadw ei socedi ac mae’r enw-fylch yn cadw ei lwybrau, ac mae’r traffig yn parhau ar ba bynnag lwybr sydd wedi’i osod o hyd. Mae switsh lladd go iawn yn bolisi hidlo penodol ynghyd â phrofion o gylch bywyd y runtime, nid yn ddibyniaeth cychwyn.

Pam nad yw rhannu enw-fylch yn switsh lladd

Mae rhannu enw-fylch yn golygu bod yr ap yn defnyddio rhyngwynebau, cyfeiriadau a thabl llwybrau’r cynhwysydd VPN. Mae’n tynnu llwybr annibynnol yr ap i’r rhwydwaith tra bod yr enw-fylch a rennir yn gyfan, ac nid yw’n dweud dim am yr hyn y bydd yr enw-fylch hwnnw’n ei wneud pan fydd y twnnel yn diflannu.

Gall amodau dibyniaeth Compose ohirio cychwyn ap nes bod dibyniaeth yn iach. Mae hynny’n cynnwys un eiliad mewn amser ac ni chynhwysir methiant diweddarach, felly mae’n offeryn trefnu cychwyn yn hytrach na wal dân allanfa barhaus.

Beth sy’n digwydd mewn gwirionedd pan fydd y cynhwysydd yn cau

Gwahaniaethwch dri digwyddiad. Gall y broses VPN y tu mewn i’r cynhwysydd farw tra bod y cynhwysydd yn dal i redeg. Gall y cynhwysydd stopio neu gael ei ddileu, sy’n dinistrio’r enw-fylch. Gall y cynhwysydd gael ei ail-greu, sy’n adeiladu enw-fylch newydd a rheolau newydd.

Yn yr achos cyntaf mae’r enw-fylch yn parhau, efallai y bydd y llwybr diofyn yn dal i bwyntio at y rhyngwyneb ffisegol, ac mae’r ap yn parhau i anfon yn uniongyrchol. Yn yr ail achos mae’r ap dibynnol fel arfer yn colli cysylltedd yn gyfan gwbl, oherwydd bod ei enw-fylch wedi diflannu. Yn y trydydd achos efallai y bydd yr ap yn ailgysylltu ag enw-fylch newydd cyn bod y twnnel yn barod. Mae angen prawf gwahanol ar bob achos, ac mae dyluniad sy’n cynnwys dim ond y datgysylltiad trefnus yn cynnwys yr un lleiaf diddorol.

Adeiladwch bolisi allanfa penodol

Ysgrifennwch y polisi y tu mewn i’r enw-fylch a rennir fel ei fod yn berthnasol i becynnau’r ap. Y ffurf yw gollwng diofyn ag eithriadau cul: loopback, rhyngwyneb y twnnel, a chyfeiriad a phorth penodol y pwynt terfyn sydd ei angen ar drafnidiaeth y twnnel.

Rhaid i’r eithriad pwynt terfyn fod yn ei le cyn bod y twnnel i fyny, neu ni all y cleient VPN gyrraedd ei weinydd. Dyna pam mae’r set rheolau’n caniatáu’r drafnidiaeth allanol yn benodol yn hytrach na chaniatáu’r rhyngwyneb ffisegol yn gyffredinol. Ychwanegwch reolau IPv6 hefyd os oes gan yr enw-fylch gysylltedd IPv6, oherwydd mae polisi IPv4 yn unig yn gadael y teulu arall yn agored.

Mae DNS yn perthyn i’r polisi hefyd. Os yw’r ap yn datrys enwau drwy ddatryswr sy’n hygyrch yn fewnol y twnnel yn unig, bydd y rheol gollwng yn torri’r datrysiad pan fydd y twnnel i lawr, sef yr ymddygiad cywir ar gyfer switsh lladd. Penderfynwch yn fwriadol ai dyna’r hyn yr ydych ei eisiau.

Profwch y cylch bywyd, nid y datgysylltiad yn unig

Anfonwch gais newydd ddiniwed tra bod y twnnel yn iach, yna lladdwch y broses VPN ac anfonwch un arall. Ailadroddwch ar ôl stopio cynhwysydd, ar ôl ailgychwyn, ac ar ôl ail-greu. Mae cais newydd yn bwysig oherwydd gall cysylltiad sy’n bodoli eisoes oroesi newid rheolau sy’n blocio rhai newydd.

Peidiwch â dibynnu ar wiriad iechyd nac ar chwiliad IP allanfa fel y mecanwaith blocio. Mae gwiriad yn arsylwi cyflwr ac yn ei adrodd; mae polisi’n rheoli traffig. Mae’r ddau yn perthyn i’r un defnydd, ac ni all un gymryd lle’r llall.

Cofnodwch y rheolau fel bod y prawf yn goroesi diweddariad

Ysgrifennwch y canlyniad disgwyliedig ar gyfer pob achos methu yn nogfennaeth y defnydd, ynghyd â’r rheolau sy’n ei weithredu. Mae’r cofnod hwnnw’n caniatáu i’r un prawf redeg ar ôl diweddariad delwedd neu uwchraddiad runtime, pan all ymddygiad enw-fylch neu lwybrau diofyn newid heb i neb olygu’r ffeil compose.

Cadwch lwybr allanol gofynnol pwynt terfyn y VPN ar wahân i allanfa ap heb gyfyngiad, a chadwch DNS ac IPv6 o fewn y cwmpas a fwriedir. Os yw’r polisi’n caniatáu’r rhyngwyneb ffisegol cyfan er hwylustod, mae’r switsh lladd wedi mynd. Mae dogfennaeth rwydweithio Docker yn disgrifio’r trefniant enw-fylch a rennir y mae’r polisi’n seiliedig arno, a dyma’r cyfeirnod i’w wirio pan fo ymddygiad y runtime dan amheuaeth.