Meshnet, Docker a’r caniatâd rhyngddynt

Gall dau URL edrych yn unfath o borwr cymar ac eto olygu pethau gwahanol iawn i’r wal dân. Mae un yn cyfeirio at wasanaeth sy’n gwrando ar y gwesteiwr ei hun. Mae’r llall yn cyfeirio at gyfeiriad gwesteiwr y mae ei borth wedi’i gyhoeddi i rwydwaith cynhwysydd, lle mae cam cyfieithu yn trosglwyddo’r cysylltiad i IP gwahanol. Ar rwydwaith cymar-i-gymar sy’n rheoli mynediad i’r rhwydwaith lleol gyda chaniatâd fesul cymar, y gwahaniaeth hwnnw yw’r adolygiad cyfan.

Mae’r caniatâd yn ymwneud â phen draw’r gwesteiwr, mae’r cyfieithiad yn ymwneud â Docker, ac mae’r mewngofnodi yn ymwneud â’r cymhwysiad. Tri phenderfyniad, tri lle i edrych.

Dilynwch y cyrchfan ar ôl cyhoeddi

Cymerwch westeiwr Linux Docker sy’n cyhoeddi porth 80 cynhwysydd ar borth 8080 y gwesteiwr. Mae cymar yn cysylltu â chyfeiriad mesh y gwesteiwr ar 8080, mae’r gwesteiwr yn derbyn y cysylltiad, ac mae cyfieithiad cyrchfan yn ei ailysgrifennu tuag at gyfeiriad pont y cynhwysydd, fel arfer rhywbeth fel 172.17.0.2 ar borth 80.

Erbyn i reol archwilio’r llif hwnnw, y gyrchfan ddiddorol yw’r cynhwysydd, nid y gwesteiwr. Mae polisi sy’n rhesymu dim ond am «wasanaeth ar y peiriant hwn» yn rhesymu am y gwrthrych anghywir. Glaniodd y cais ar y gwesteiwr, ond mae’n cael ei ddanfon yn rhywle arall.

Dyna pam mae dogfennaeth y rhwydwaith yn rhestru cynwysyddion Docker ymhlith yr adnoddau y mae caniatâd rhwydwaith lleol yn eu rheoli ar Linux. Nid yw’r caniatâd yn gyfystyr â chofnod rhestr ganiatáu VPN cyffredin, ac nid yw’r ddau reolaeth yn disodli ei gilydd. Mae un yn penderfynu a all cymar gyrraedd adnoddau lleol o gwbl; mae’r llall yn penderfynu pa gyrchfannau y mae llwybr twnnel yn eu cario.

Penderfynwch faint o fynediad lleol y mae caniatâd yn ei roi

Nid yw rhoi mynediad i’r rhwydwaith lleol i gymar yn benderfyniad un cynhwysydd. Gall ddatgelu gwasanaethau cyhoeddedig eraill ar yr un gwesteiwr, a gall gyrraedd ymhellach yn dibynnu ar sut mae’r gwesteiwr yn anfon ymlaen. Adolygwch y cwmpas effeithiol cyn clicio’r switsh ar gyfer un dangosfwrdd.

Yna edrychwch ble mae Docker yn cyhoeddi’r porth. Mae cyhoeddi ar 0.0.0.0 yn creu gwrandäwr ar bob cyfeiriad gwesteiwr, a all ychwanegu cofnod LAN cyffredin ochr yn ochr â’r un mesh. Os mai dim ond y rhwydwaith sydd ei angen, rhwymwch y cyhoeddiad i’r cyfeiriad neu’r rhyngwyneb penodol rydych chi’n ei fwriadu, a thriniwch y rhwymiad ehangach fel canfyddiad ar wahân yn hytrach na chyfleustra.

Cadwch bolisi anfon ymlaen y gwesteiwr a dilysiad y cymhwysiad ei hun yn ddigon cul ar gyfer y gwasanaeth. Nid yw URL sy’n edrych yn breifat yn rheolaeth mynediad, ac nid yw cynhwysydd sy’n ymddiried ym mhob ffynhonnell ar ei rwydwaith pont yn cael ei ddiogelu gan y ffaith bod cymar y rhwydwaith wedi’i gymeradwyo. Dilysiad y cymhwysiad yw’r trydydd penderfyniad, a hwnnw’n unig sy’n gwybod pwy yw’r defnyddiwr. Ni all caniatâd ar lefel gwesteiwr ddarparu’r wybodaeth honno.

Profwch y caniatâd, nid yr URL yn unig

O’r cymar a gymeradwywyd, agorwch yr union wasanaeth a chadarnhewch ei fod yn gweithio. Yna ceisiwch gyrchfan a ddylai aros wedi’i gwrthod a chadarnhewch nad yw’n gweithio. Mae profi’r llwybr hapus yn unig yn dweud wrthych fod y caniatâd wedi’i roi; nid yw’n dweud wrthych fod y ffin lle rydych chi’n meddwl.

Cymharwch wasanaeth brodorol i’r gwesteiwr ar wahân. Os yw cronfa ddata yn gwrando ar y gwesteiwr ac mae dangosfwrdd yn rhedeg mewn cynhwysydd, maen nhw’n dilyn llwybrau gwahanol trwy’r un caniatâd ac efallai na fydd polisi anfon ymlaen y gwesteiwr yn eu rheoli’n unfath. Cofnodwch pa un yw pa un cyn ysgrifennu’r nodyn adolygu.

Peidiwch â fflysio tablau Docker na rheolau cleient y rhwydwaith i «ailosod» mynediad. Mae’r ddau gynnyrch yn gosod eu hintegreiddiad polisi eu hunain, ac mae ei glirio yn cynhyrchu gwesteiwr sy’n ymddangos yn gweithio wrth osgoi’r rheolaethau y gofynnwyd i chi eu gwerthuso. Os yw rheol yn edrych yn anghywir, darllenwch hi a newidiwch y rheol honno’n unig. Os na allwch esbonio beth mae rheol yn ei wneud, dyna’r canfyddiad, nid rheswm i’w dileu.

Ysgrifennwch y canfyddiad yn nhermau’r system ei hun

Y peth sy’n bwysig yw’r gwahaniaeth y mae’r cynnyrch yn ei orfodi mewn gwirionedd, nid yr un yn y templed adolygu: caniatâd i gyrraedd pen draw gwesteiwr, caniatâd i gyrraedd adnoddau preifat wedi’u llwybro, a chaniatâd i ddefnyddio’r cymhwysiad. Mae cyhoeddi porth yn gadael y tri phenderfyniad hynny’n union lle’r oedden nhw, a bydd adolygydd sy’n eu trin fel un yn cymeradwyo’r cwmpas anghywir.

Nodwch gyfeiriad y gwesteiwr, y porth cyhoeddedig, cyrchfan y cynhwysydd a chaniatâd y cymar yn yr un frawddeg. Mae’r frawddeg honno’n brofadwy gan rywun arall, a dyna sy’n ei gwneud yn ganfyddiad yn hytrach na barn.