VPN-agordo travivas rekreon de la ujo nur se vi muntas ĝin
Dosiero redaktita ene de funkcianta ujo loĝas en tavolo, kiu malaperas. Komparu bind-muntadojn, nomitajn volumojn kaj sekretojn, poste rekreu kaj kontrolu kvar aferojn.
Vi redaktas la WireGuard-agordon ene de funkcianta ujo, ĝi funkcias, kaj la sekva bilda ĝisdatigo forviŝas ĝin. Nenio estis malĝuste agordita. La dosiero loĝis en la skribebla tavolo de la ujo, kiu ekzistas nur por tiu uja kazo. La komparo, kiu gravas, ne estas kiun ilon uzi, sed kiujn enigojn deklaras via ujigo. Ĉio, kion vi redaktis mane, estas enigo, pri kiu la ujigo ne scias.
Du specoj de stato, unu el ili estas forĵetebla
Ujo havas skribeblan tavolon por ŝanĝoj faritaj dum funkciado, kaj tiu tavolo estas forĵetata, kiam la ujo estas anstataŭigata. Ĝi ne estas agorda konservejo kaj ne estas savkopio. La bildo plus la deklaritaj enigoj estas la tuta difino de tio, kio funkcias.
Demandu, kiuj el viaj VPN-dosieroj estas deklaritaj enigoj kaj kiuj estas akcidentoj:
docker diff wg-vpn
docker inspect --format '{{json .Mounts}}' wg-vpnLa diff listigas, kio ŝanĝiĝis en la skribebla tavolo, kaj tio estas ĝuste la aro de aferoj, kiuj malaperos. La muntolisto montras, kio travivas. Kompari la du respondas la demandon antaŭ ol vi perdas ion.
Bind-muntado, nomita volumo aŭ sekreto: kion ĉiu protektas
Ĉiuj tri povas teni VPN-profilon, kaj ili diferencas en tio, kiu povas legi ĝin kaj kio okazas ĉe anstataŭigo.
| Mechanism | Survives recreation | Who can read it |
|---|---|---|
| Writable layer | No | Anyone with container access, until it is gone |
| Bind mount | Yes, while the host path exists | Whatever the host permissions allow |
| Named volume | Yes, until the volume is removed | Managed by the runtime |
| Secret | Yes, as a declared input | The container process, by design |
Bind-muntado mapas gastigan vojon, do la dosiero estas same protektita kiel tiu vojo kaj same videbla kiel la permesoj de la gastiganto permesas. Nomita volumo estas administrata de la rulmedio kaj travivas la forigon de la ujo, kio faras ĝin la pli sekura implicita elekto por stato, kiun posedas la ujigo. Sekreta mekanismo estas por materialo, kiun vi ne volas en bildo aŭ medivariablo.
Ne traktu ĉiun medivariablon kaj ĉiun gastigan dosieron kiel egalvaloran protekton, ĉar ili ne estas.
Redaktado ene de la ujo estas la kaptilo
La kaptilo ne estas la ilo, sed la direkto de la redaktado. Ŝanĝo farita ene de funkcianta ujo estas nevidebla por la ujigo, do la sekva rekreado silente malfaras ĝin kaj la simptomo aspektas kiel regreso en la bildo. Se vi devas fari ŝanĝon tie por diagnozi, kopiu ĝin tuj eksteren kaj metu ĝin en la deklaritajn enigojn. Poste rekreu por pruvi, ke la ujigo reproduktas ĝin.
Profilo povas porti privatajn ŝlosilojn kaj kontan materialon, kio faras savkopion de tiu dosiero tasko pri traktado de sekretoj anstataŭ dosiera kopio. Tenu posedon kaj legan aliron limigitaj al la fakta procezo de la ujo, anstataŭ malfermi gastigan dosierujon por ke permesa eraro malaperu.
Tiu malfermado estas kiel komfortaĵo en la ujo fariĝas elmeto de la gastiganto.
Rekreu intence, poste kontrolu kvar aferojn
Notu la bildan version, la bezonatan aparaton kaj kapablojn, la retan konekton kaj la persistajn enigojn. La listo de aparato kaj kapabloj aparte gravas por VPN-ujo, ĉar la tunelo bezonas la retan aparaton kaj la privilegion agordi ĝin.
Konfirmu, kiun generitan rulmedian staton oni devus rekonstrui anstataŭ konservi. Ŝlosiloj, kiujn la tunelo generis ĉe la unua starto, estas stato, kaj ĉu vi tenas ilin aŭ regeneras ilin estas decido kun sekvoj por ĉiu peer, kiu konas la malnovan publikan ŝlosilon.
Post kontrolita rekreado, kontrolu identecon, enkursigon, DNS kaj la bezonatan blokadon de malsukceso. Procezo, kiu startas sen eraroj, pruvas neniun el tiuj kvar. Kontrolu ĝin dum la tunelo estas aktiva kaj denove post kiam vi haltigas ĝin, ĉar la blokado de malsukceso montriĝas nur kiam la tunelo foriras.
Tenu restaŭran kopion ekster la ujo
Tenu restaŭran kopion, kiu vivas sendepende de la ujo, kaj testu restaŭri ĝin per la dokumentita procezo. Netestita savkopio de VPN-profilo estas espero, precipe kiam la restaŭra vojo implikas permesojn, kiujn la uja procezo bezonas.
Se ujo, kiu posedas VPN, estas anstataŭigata, kunordigu la aplikaĵojn, kiuj dividas ĝian retan stakon, ene de la subtenata vivciklo de la rulmedio.
Tiu kunordigo estas la diferenco inter restarto kaj interrompo. La ujigo devus priskribi, de kie venas la agordo, kaj la dokumentaro pri volumoj estas la loko por kontroli, kion la rulmedio vere konservas.