Host jõuab IPsec-partnerini, Dockeri konteiner mitte

Te pingite kaugemat hosti Linuxi masinast ja see vastab, seega tunnel töötab. Kõrval olev konteiner jookseb endiselt ajalimiiti ja loomulik järgmine samm on Dockeri taaskäivitamine. Sillavõrgu konteiner algab tavaliselt teise lähteaadressiga ja siseneb hosti edasisaatmise kaudu, mitte hosti rakenduse enda väljundtee kaudu, seega mõõtis edukas test teist paketti. Poliitikapõhise strongSwan-tunneli jaoks ei piisa tavalisest marsruudist kaugemasse alamvõrku, kui edasisaadetud pakett ei vasta paigaldatud IPsec-poliitikale.

Allpool kulgev ülevaade jälgib üht sihtkohta kahe allika kaudu ja loeb olekut enne, kui midagi muudetakse.

Alustage ühest sihtkohast ja kahest allikast

Valige esmalt IP järgi tuntud teenus, et te ei siluks samal ajal DNS-i. Märkige kolm fakti: konteineri silla prefiks, selle hosti päringu lähteaadress, mis töötas, ja tunneli jaoks kokku lepitud kohalikud ja kauged liiklusvalikud. Need kolm arvu selgitavad peaaegu kõiki selle sümptomi juhtumeid.

Seejärel korrake ebaõnnestunud päringut konteineri seest ja püüdke allikas, mida see tegelikult kasutab. Kui see aadress ei ole kohaliku valikuga kaetud, teate tulemust juba, ja ükski konteineri uuesti loomine ei muuda seda.

Lugege poliitikaid enne, kui Dockerit puutute

Ainult lugemiseks mõeldud hosti kontrollid hõlmavad marsruutimisotsuseid, poliitikaandmebaasi ja reegleid, mis nende vahel valivad:

ip rule show
ip route show table all
ip xfrm policy

Poliitikaloend näitab valikuid ja suunda, ilma et oleks vaja võtmematerjali täis IPsec-oleku väljavõtet, seega on ohutu see pileti sisse kleepida. Otsige kohalikku valikut, mis katab hosti aadressi, kuid mitte silla prefiksit. Kontrollige ka kattuvust: konteineri marsruut, mis kohtleb kaugemat sihtkohta kohalikuna, ei tooda kunagi oodatud edasisaadetud paketti, ja tunnel saab süü. Hoidke seda loendit konteineri lähteaadressi kõrval, sest need kaks kokku on kogu võrdlus.

Kui konteineri prefiks puudub, peatuge ja otsustage arhitektuur enne, kui midagi muud muudate. Ülejäänud ülevaade eeldab, et olete kokku leppinud, milline lähteaadress peaks juhtmel ilmuma.

Kontrollige filtreerimist ja tõlkimist järjekorras

Dockeri Linuxi silla tulemüür võib edasisaatmise blokeerida IPsec-ist sõltumatult. Kui backend on iptables, uurige FORWARD-teed ja DOCKER-USER-otsuseid, pidades meeles, et varasema otsuse järel lisatud reegel ei pruugi kunagi joosta. nftables-backend integreerub teisiti, seega ärge looge DOCKER-USER-ahelat ainult sellepärast, et iptablesi näide selle nii nimetas; kontrollige, millist backendit teie deemon tegelikult kasutab.

Seejärel kontrollige lähtekoha tõlkimist. Lai MASQUERADE-reegel võib muuta paketi, mis varem vastas IPsec-valikule, selliseks, mis enam ei vasta, ja rike näeb välja täpselt nagu marsruudiprobleem. strongSwan edasisaatmise juhend dokumenteerib NAT-erandi, mida on enne sellist tõlkimist vaja liiklusele, mis juba poliitikale vastab.

See erand ei ole viis lisada tunnelisse katmata konteineri allikat. See kaitseb ainult liiklust, mis juba disaini sisse mahub, seega lahendage esmalt valiku ja tagasitee küsimused ning viige seejärel NAT ja filtreerimine vastusega kooskõlla. Kui hakkate hoopis erandit laiendama, tuleb muuta valikut, mitte NAT-reeglit.

Seejärel otsustage marsruuditud või tõlgitud

Marsruuditud konteineri alamvõrk nõuab, et mõlemad partnerid aktsepteeriksid seda alamvõrku ja kaugemat tagasiteed sinna, mis tavaliselt tähendab valiku muutmist mõlemas otsas ja vestlust kaugema poole omanikuga. Teadlikult tõlgitud disain peab seevastu esitama poliitikaga kaetud aadressi asjakohases otsingufaasis, mis tavaliselt tähendab kitsast, dokumenteeritud reeglit vaikimisi MASQUERADE asemel.

Kumbki lahendus ei tulene hosti töötavast tunnelist automaatselt, ja nende vahel valimine on omanikuga disainiotsus. Kirjutage üles, millise valisite, sest muidu tuletab järgmine insener selle tulemüüri loenduritest uuesti.

Jälgige ka hübriidset riket: pool reeglistikku tõlgitud ja pool mitte, mis tekitab katkendliku õnnestumise, mis sõltub sihtpordist, mitte millestki võrgus.

Kontrollige uue ühendusega, mitte taaskäivitusega

Kasutage uut rakenduse ühendust, jälgides kitsaid tulemüüri loendureid ja kaugemat vastuvõtjat, et igal tähelepanekul oleks allikas. Dockeri taaskäivitamine võib muuta reeglite olekut ja häirib ka töökoormusi, mis võtab teilt selle puhta signaali, mida tahtsite.

Püsiv tulemus on neli väidet, mida saate näidata: konteineri allikas, vastav kaitstud tee, lubatud edasisaatmine ja vastus, mis tuleb tagasi. Kui kõik neli kehtivad, jõuab konteiner partnerini samal põhjusel nagu host.