Pam fod y modd breintiedig yn lletach nag sydd ei angen ar VPN

Nid oedd y cynhwysydd am agor ei dwnnel, felly aeth y fflag freintiedig i mewn, ac mae’n gweithio nawr. Yr hyn a brofodd y dilyniant hwnnw yw bod o leiaf un caniatâd ar goll, ac nid yw’n dweud dim am ba un. Mae’r modd breintiedig yn rhoi set o alluoedd a mynediad at ddyfeisiau sy’n llawer lletach na’r hyn sydd ei angen ar ryngwyneb twnnel.

Beth mae’r fflag yn ei newid mewn gwirionedd

Mae cynhwysydd breintiedig yn cael galluoedd eang a mynediad at ddyfeisiau’r gwesteiwr, sy’n ganiatâd llawer mwy na’r hyn y mae’r llwybr rhwydwaith yn ei olygu. Y set union gywir a gofnodir gan yr amgylchedd gweithredu, nid ffrwyth traddodiad, ac mae dogfennaeth Docker ar redeg cynwysyddion yn disgrifio’r opsiynau braint sydd ar gael. Mae ei ddarllen unwaith yn ddigon i weld mai rhan fach o’r cyfan yw twnelu.

Mae dau ofyniad culach yn cwmpasu’r rhan fwyaf o gynwysyddion VPN. Mae ffurfweddu rhyngwyneb yn gofyn am allu gweinyddu rhwydwaith, ac mae agor y ddyfais twnnel yn gofyn am fynediad at y nod dyfais penodol hwnnw. Mae’r rhain yn ganiatâd ar wahân, ac mae darparu’r ddau yn dal yn gulach na’r opsiwn blanced. Nid oes a wnelo gweddill y set freintiedig ddim â’r twnnel. Mae’n bodoli ar gyfer llwythi gwaith sydd wir angen mynediad ar lefel gwesteiwr, ac nid yw cynhwysydd VPN fel arfer yn un ohonynt.

Cydweddwch bob gwall ag un rhagofyniad

Mae’r neges gwall yn dweud wrthych pa ragofyniad sydd ar goll os byddwch yn ei darllen cyn ei atal. Mae neges am nod dyfais yn enwi’r ddyfais, mae neges am weithrediad nad yw’n cael ei ganiatáu yn enwi gallu, ac mae neges am fodiwl neu sysctl yn enwi cymorth cnewyll. Mae gan bob un ohonynt atgyweiriad gwahanol, a dim ond un ohonynt yn allu.

Mae ffeil ffurfweddu sydd ar goll yn aros ar goll ar ôl rhoi pob gallu, a dyna pam nad yw’r modd breintiedig yn newid dim o gwbl weithiau. Mae’r cynhwysydd yn cychwyn, mae’r twnnel yn dal i fethu, ac nid oedd y gwall go iawn erioed yn ymwneud â chaniatadau. Cymorth cnewyll yw’r trydydd achos a’r un hawddaf i’w ddarllen yn anghywir. Ni ellir llwytho modiwl nad yw wedi’i lwytho ar y gwesteiwr o du mewn cynhwysydd heb fraint, ac nid yw rhoi mwy o alluoedd y tu mewn i’r cynhwysydd yn newid cyflwr y gwesteiwr.

Gwiriwch y gofyniad, nid y symptom

Dechreuwch o’r alwad leiaf y mae’r ddelwedd yn ei dogfennu, ei rhedeg, a chadw’r union destun methiant. Yna ychwanegwch un caniatâd ar y tro a nodwch pa ychwanegiad a newidiodd y canlyniad.

ls -l /dev/net/tun
docker run --rm --cap-add NET_ADMIN --device /dev/net/tun image:tag
ip -br link show type tun

Mae cynhwysydd sy’n gweld y ddyfais ac yn dal y gallu ond yn methu o hyd yn dweud wrthych fod y broblem yn rhywle arall. Mae hynny’n ganlyniad defnyddiol, a byddai’r modd breintiedig wedi’i guddio.

Gwiriwch ganiatadau’r ddyfais ar y gwesteiwr hefyd, oherwydd mae nod dyfais a roddwyd yn gywir gyda pherchnogaeth grŵp anghywir yn cynhyrchu’r un gwall â chaniatâd sydd ar goll.

Cofnodwch y caniatâd culaf sy’n gweithio

Ysgrifennwch bob dyfais a gallu sydd eu hangen ar y defnydd, gyda’r gwall a’i cyfiawnhaodd. Y cofnod hwnnw sy’n caniatáu i’r person nesaf dynnu rhywbeth yn ddiogel, a hwnnw yw’r hyn y bydd archwilydd yn gofyn amdano pan adroddir bod cynhwysydd yn freintiedig.

Adolygwch y cyd-destun cyfagos hefyd, oherwydd gall rhwydweithio’r gwesteiwr, mowntiau’r gwesteiwr ac opsiynau’r amgylchedd gweithredu bob un ehangu effaith caniatâd. Nid yw galwad labordy ynysig sy’n cyfuno pob un ohonynt yn ffurfweddiad cynhyrchu, waeth pa mor dda y gweithiodd. Profwch y cymhwysiad, ei ymddygiad DNS a methiant twnnel cyn i chi alw’r defnydd yn gyflawn. Nid yw caniatâd i greu rhyngwyneb yn bolisi allanfa, ac mae cynhwysydd sy’n gallu twnelu’n berffaith yn dal i lwybro popeth a anfonir gan y cymhwysiad.