Ostalariak IPsec parekidea lortzen du, Docker edukiontziak ez

Linux makinatik urruneko ostalariari ping egiten diozu eta erantzuten du, beraz tunelak funtzionatzen du. Alboko edukiontziak oraindik denbora-muga jotzen du, eta hurrengo pauso naturala Docker berrabiaraztea da. Zubi-sareko edukiontzi bat normalean beste iturburu-helbide batekin hasten da eta ostalarira birbidalketaren bidez sartzen da, ostalariaren aplikazioaren irteera-bide propioaren ordez, beraz proba arrakastatsuak beste pakete bat neurtu zuen. Politikan oinarritutako strongSwan tunel baterako, urruneko azpisarearekiko bide arrunt bat ez da nahikoa birbidalitako paketeak instalatutako IPsec politika betetzen ez duenean.

Hurrengo ibilbideak helmuga bat bi iturbururen bidez jarraitzen du, ezer aldatu aurretik egoera irakurriz.

Hasi helmuga batekin eta bi iturbururekin

Aukeratu lehenengo IP bidez ezaguna den zerbitzu bat, DNS ere ez aldiberean arazteko. Idatzi hiru datu: edukiontziaren zubi-prefixoa, funtzionatu zuen ostalari-eskaeraren iturburu-helbidea, eta tuneletarako adostutako tokiko eta urruneko trafiko-hautatzaileak. Hiru zenbaki horiek sintoma honen kasik kasu guztiak azaltzen dituzte.

Gero errepikatu huts egin zuen eskaera edukiontziaren barrutik eta harrapatu benetan erabiltzen duen iturburua. Helbide hori tokiko hautatzaileak estaltzen ez badu, emaitza badakizu jada, eta edukiontzia berritzeak ez du hori aldatuko.

Irakurri politikak Docker ukitzen hasi aurretik

Irakurtzeko soilik diren ostalari-egiaztapenek bideratze-erabakiak, politika-datu-basea eta bien artean hautatzen duten arauak hartzen dituzte:

ip rule show
ip route show table all
ip xfrm policy

Politika-zerrendak hautatzaileak eta norabidea erakusten ditu gako-materialez betetako IPsec egoera-isurki bat behar izan gabe, eta horregatik da segurua tiket batean itsastea. Bilatu ostalariaren helbidea estaltzen duen baina zubi-prefixoa estaltzen ez duen tokiko hautatzaile bat. Egiaztatu gainjartzea ere: urruneko helmuga tokikotzat hartzen duen edukiontzi-bide batek ez du inoiz espero duzun birbidalitako paketea sortuko, eta tunelari egotziko zaio errua. Gorde zerrenda hori edukiontziaren iturburu-helbidearen ondoan, biok batera baitira konparazio osoa.

Edukiontziaren prefixoa falta bada, gelditu eta erabaki arkitektura beste ezer aldatu aurretik. Ibilbide honen gainerakoak suposatzen du adostu duzula zein iturburu-helbide agertu behar den sarean.

Egiaztatu iragazketa eta itzulpena hurrenez hurren

Dockerren Linux zubi-suebakiak birbidalketa blokea dezake IPsec-etik independenteki. iptables backendarekin, aztertu FORWARD bidea eta DOCKER-USER erabakiak, gogoratuz lehenagoko epai baten ondoren gehitutako arau bat inoiz exekutatu ez daitekeela. nftables backendak beste modu batean integratzen da, beraz ez sortu DOCKER-USER kate bat iptables adibide batek izendatu zuelako soilik; egiaztatu zure daemonak benetan zein backend erabiltzen duen.

Gero egiaztatu iturburu-itzulpena. MASQUERADE arau zabal batek lehenago IPsec hautatzaile batekin bat zetorren paketea bat ez datorren beste batean bihur dezake, eta hutsegiteak bideratze-arazo baten itxura zehatza du. strongSwan birbidalketa gidaritzak politika batekin bat datorren trafikoarentzat itzulpen horren aurretik behar den NAT salbuespena dokumentatzen du.

Salbuespen hori ez da tunelera estalitako edukiontzi-iturburu bat gehitzeko modua. Diseinuarekin bat datorren trafika soilik babesten du, beraz konpondu lehenago hautatzailearen eta itzuli-bidearen galderak, eta gero egin NAT eta iragazketa erantzunarekin bat. Salbuespena zabaltzen hasten bazara, aldatu beharrekoa hautatzailea da, ez NAT araua.

Gero erabaki bideratuta edo itzulita

Bideratutako edukiontzi-azpisare batek bi parekideek azpisare hori onartzea eta hara urruneko itzuli-bide bat egotea eskatzen du, eta horrek normalean bi muturretan hautatzaile-aldaketa bat eta urruneko aldearen jabearekin elkarrizketa bat esan nahi du. Nahita itzulitako diseinu batek, berriz, politika estaltzen duen helbide bat aurkeztu behar du bilaketa-fase egokian, eta horrek normalean arau estu eta dokumentatu bat esan nahi du, lehenetsitako MASQUERADE baten ordez.

Bi antolamenduetako bat ere ez da automatikoki ostalariaren tunel funtzionaletik dator, eta bien artean aukeratzea jabea duen diseinu-erabakia da. Idatzi zein aukeratu zenuen, bestela hurrengo ingeniariek suebaki-kontagailuetatik berriz ondorioztatuko dute.

Kontuz hibrido hutsegitearekin ere: arau-multzoaren erdia itzulita eta erdia ez, eta horrek aldizkako arrakasta sortzen du, helburuko ataka dela eta, ez sareko ezer dela eta.

Egiaztatu konexio berri batekin, ez berrabiaraztearekin

Erabili aplikazio-konexio berri bat suebaki-kontagailu estuak eta urruneko hargailua behatzen dituzun bitartean, behaketa bakoitzak iturburu bat izan dezan. Docker berrabiarazteak arauen egoera alda dezake eta lan-kargak ere etengo ditu, eta horrek lortu nahi zenuen seinale garbia kostatzen dizu.

Emaitza iraunkorra erakuts ditzakezun lau baieztapen dira: edukiontziaren iturburua, dagokion bide babestua, baimendutako birbidalketa, eta itzultzen den erantzun bat. Lauak betetzen direnean, edukiontziak parekidea lortzen du ostalariak bezalako arrazoi beragatik.