Zergatik den modu pribilegiatua VPN batek behar duena baino zabalagoa

Edukiontziak ez zuen bere tunela ireki nahi, beraz pribilegioen bandera gehitu zen, eta orain funtzionatzen du. Segida horrek frogatu zuen gutxienez baimen bat falta zela, eta ez du ezer esaten zein den. Modu pribilegiatuak gaitasunen multzo bat eta gailuetarako sarbidea ematen ditu, tunel-interfaze batek behar duena baino askoz zabalagoa.

Zer aldatzen duen banderak benetan

Edukiontzi pribilegiatuak gaitasun zabalak eta ostalariaren gailuetarako sarbidea jasotzen ditu, eta hori sare-bideak eskatzen duena baino askoz emakida handiagoa da. Multzo zehatza exekuzio-inguruneak dokumentatzen du, ahozko tradizioak ez du finkatzen, eta Dockerren edukiontziak exekutatzeko dokumentazioak eskuragarri dauden pribilegio-aukerak deskribatzen ditu. Behin irakurtzea nahikoa da ikusteko tunela osotasunaren zati txiki bat dela.

Bi baldintza estuagok VPN edukiontzi gehienak estaltzen dituzte. Interfaze bat konfiguratzeak sare-administrazioko gaitasuna eskatzen du, eta tunel-gailua irekitzeak gailu-nodo zehatz horretarako sarbidea eskatzen du. Emakida bereiziak dira, eta biak batera eman arren oraindik ere estuagoak dira aukera orokorra baino. Pribilegio-multzoaren gainerakoak ez du tunelarekin zerikusirik. Ostalari-mailako sarbidea benetan behar duten karga-lanetarako dago, eta VPN edukiontzi bat normalean ez da horietako bat.

Lotu akats bakoitza baldintza bakar batekin

Errore-mezuak zein baldintza falta den esaten dizu, isildu aurretik irakurtzen baduzu. Gailu-nodo bati buruzko mezuak gailua izendatzen du, baimendu gabeko eragiketa bati buruzkoak gaitasun bat izendatzen du, eta modulu edo sysctl bati buruzkoak nukleoaren sostengua izendatzen du. Horietako bakoitzak konponbide desberdina du, eta horietako bat bakarrik da gaitasuna.

Falta den konfigurazio-fitxategia falta izaten jarraitzen du gaitasun guztiak eman ondoren, eta horregatik modu pribilegiatuak batzuetan ez du ezer aldatzen. Edukiontzia abiatzen da, tunelak huts egiten jarraitzen du, eta benetako akatsa ez zen inoiz baimenei buruzkoa. Nukleoaren sostengua hirugarren kasua da eta okerren irakurtzeko errazena. Ostalarian kargatu gabeko modulu bat ezin da pribilegiorik gabeko edukiontzi baten barrutik kargatu, eta edukiontziaren barruan gaitasun gehiago emateak ez du ostalariaren egoera aldatzen.

Egiaztatu baldintza, ez sintoma

Hasi irudiak dokumentatzen duen dei minimoarekin, exekutatu, eta gorde huts egitearen testu zehatza. Gero gehitu emakida bat aldiro eta ohartu zein gehigarrik aldatu zuen emaitza.

ls -l /dev/net/tun
docker run --rm --cap-add NET_ADMIN --device /dev/net/tun image:tag
ip -br link show type tun

Gailua ikusten duen eta gaitasuna duen baina oraindik huts egiten duen edukiontziak arazoa beste nonbait dagoela esaten dizu. Emaitza erabilgarria da, eta modu pribilegiatuak ezkutatuko zukeen.

Egiaztatu ostalariaren gailu-baimenak ere, behar bezala emandako gailu-nodo batek talde-jabetza okerrarekin emakida falta batek sortzen duen errore bera sortzen baitu.

Erregistratu funtzionatzen duen emakida estuena

Idatzi zabalpenak behar dituen gailu eta gaitasun bakoitza, hura justifikatu zuen akatsarekin batera. Erregistro horrek ahalbidetzen dio hurrengo pertsonari zerbait segurtasunez kentzea, eta horixe eskatuko du auditore batek edukiontzi bat pribilegiatutzat jakinarazten denean.

Berrikusi inguruko testuingurua ere, ostalariaren sarea, ostalariaren muntaketak eta exekuzio-inguruneko aukerak bakoitzak baimen baten eragina zabaldu baitezake. Guztiak batzen dituen laborategiko dei isolatu bat ez da ekoizpen-konfigurazio bat, ondo funtzionatu arren. Probatu aplikazioa, haren DNS-jokaera eta tunel-hutsegite bat zabalpena amaitutzat eman aurretik. Interfaze bat sortzeko baimena ez da irteera-politika bat, eta primeran tunelatzen duen edukiontzi batek aplikazioak bidaltzen duen guztia bideratzen jarraitzen du.