VPN sidecar baterako kill switcha: blokeatu trafikoa irtetean

VPN edukiontzi baten sareko izen-espazioa partekatzen duen aplikazio-edukiontziak ez du interfaze propiorik, beraz erraza da pentsatzea ezin duela ezer bidali tunelak huts egiten duenean. Suposizio hori okerra da garrantzia duen hutsegite-moduan. VPN prozesua hiltzen bada izen-espazioak bizirik jarraitzen duen bitartean, aplikazioak bere socketak mantentzen ditu eta izen-espazioak bere ibilbideak, eta trafikoak instalatuta jarraitzen duen bideari jarraitzen dio. Benetako kill switch bat iragazki-politika esplizitua eta runtimearen bizi-zikloaren probak dira, ez abiarazte-mendekotasuna.

Zergatik izen-espazioa partekatzea ez den kill switch bat

Izen-espazio bat partekatzeak esan nahi du aplikazioak VPN edukiontziaren interfazeak, helbideak eta ibilbide-taula erabiltzen dituela. Aplikazioaren sareko bide independentea kentzen du izen-espazio partekatua osorik dagoen bitartean, eta ez du ezer esaten izen-espazio horrek tunela desagertzen denean egingo duenari buruz.

Compose-ren mendekotasun-baldintzek aplikazio baten abiaraztea atzeratu dezakete mendekotasun bat osasuntsu egon arte. Horrek denborako une bat baino ez du estaltzen eta ez du geroagoko hutsegiterik, beraz abiarazte-ordena tresna bat da, eta ez etengabeko irteera-suebaki bat.

Zer gertatzen da benetan edukiontzia irtetean

Bereizi hiru gertaera. Edukiontziaren barruko VPN prozesua hil daiteke edukiontziak martxan jarraitzen duen bitartean. Edukiontzia gelditu edo kendu daiteke, eta horrek izen-espazioa suntsitzen du. Edukiontzia birsortu daiteke, eta horrek izen-espazio berria eta arau berriak eraikitzen ditu.

Lehenengo kasuan izen-espazioak irauten du, bide lehenetsiak interfaze fisikoari seinalatzen jarrai dezake, eta aplikazioak zuzenean bidaltzen jarraitzen du. Bigarren kasuan mendeko aplikazioak konektibitatea erabat galtzen du normalean, bere izen-espazioa desagertu delako. Hirugarren kasuan aplikazioa izen-espazio berri batera berrikonekta daiteke tunela prest egon aurretik. Kasu bakoitzak proba desberdin bat behar du, eta deskonexio ordenatua soilik estaltzen duen diseinuak interesik gutxien duena estaltzen du.

Eraiki irteera-politika esplizitu bat

Idatzi politika izen-espazio partekatuaren barruan, aplikazioaren paketeei aplika dakien. Forma lehenetsitako jaregitea da salbuespen estu batzuekin: loopback, tunelaren interfazea, eta tunelaren garraioak behar duen amaierako puntuaren helbide eta ataka zehatzak.

Amaierako puntuaren salbuespena tunela altxatu aurretik egon behar da, bestela VPN bezeroak ezingo du bere zerbitzaria lortu. Horregatik arau-multzoak kanpoko garraioa berariaz baimentzen du, eta ez du interfaze fisikoa oro har baimentzen. Gehitu IPv6 arauak ere izen-espazioak IPv6 konektibitatea badu, IPv4 soilik den politika batek beste familia irekita uzten duelako.

DNS ere politikaren parte da. Aplikazioak tunelaren barruan bakarrik atzigarria den ebazle baten bidez ebazten baditu izenak, jaregite-arauak ebazpena hautsiko du tunela behera dagoenean, eta hori da kill switch baterako portaera zuzena. Erabaki nahita hori ote den nahi duzuna.

Probatu bizi-zikloa, ez bakarrik deskonexioa

Bidali eskaera berri eta kaltegabea tunela osasuntsu dagoen bitartean, gero hil VPN prozesua eta bidali beste bat. Errepikatu edukiontzia gelditu ondoren, berrabiarazi ondoren eta birsortu ondoren. Eskaera berri bat garrantzitsua da lehendik dagoen konexio batek berriak blokeatzen dituen arau-aldaketari eutsi ahal baitio.

Ez fidatu osasun-egiaztapen batean edo irteera-IP baten kontsultan blokeo-mekanismo gisa. Egiaztapen batek egoera behatzen du eta jakinarazten du; politika batek trafikoa kontrolatzen du. Biak zabalkuntza berean egon behar dira, eta ez dira ordezkoak.

Erregistratu arauak probak eguneratze bat gaindi dezan

Idatzi hutsegite-kasu bakoitzerako espero den emaitza zabalkuntza-dokumentazioan, hura inplementatzen duten arauekin batera. Erregistro horri esker proba bera exekuta daiteke irudi-eguneratze baten edo runtimearen hobekuntza baten ondoren, izen-espazioaren portaera edo bide lehenetsiak aldatu baitaitezke inork compose fitxategia editatu gabe.

Mantendu VPN amaierako puntuaren kanpoko bide beharrezkoa aplikazioaren irteera mugagabetik bereizita, eta mantendu DNS eta IPv6 aurreikusitako estalduraren barruan. Politikak interfaze fisiko osoa erraztasunagatik baimentzen badu, kill switcha desagertu da. Docker sareen dokumentazioak politikak oinarritzat duen izen-espazio partekatuaren antolamendua deskribatzen du, eta hori da runtimearen portaera zalantzan dagoenean egiaztatzeko erreferentzia.