Windows edukiontziak eta VPN: zergatik hausten den tokiko sareta
Windows edukiontzi batek ostalariaren bideratze-taula erabiltzen du, beraz tokiko azpisarea blokeatzen duen VPN batek edukiontziaren aurrizkia ere eroaten du. Linux moduak beste bide bat hartzen du.
Ordenagailu eramangarri bakarrean, VPN bezero bat konektatuta, Linux edukiontziek elkarri hitz egiten jarraitzen dute eta Windows edukiontziak gelditu egiten dira. Aldagaia ez da irudia; paketeek ostalarira egiten duten bidea da. Sare lehenetsiko Windows edukiontziek ostalariaren bideratze-taula eta itzulpena maileguan hartzen dituzte, beraz ostalariaren bideratzea aldatzen duen politikak haiek ere aldatzen ditu. Egiaztatu hori bide-kontsulta batekin ezer berrinstalatu aurretik.
Non sartzen dira Windows edukiontzi baten paketeak ostalarian
Sare lehenetsiko nat edukiontzi batek Host Networking Service zerbitzuaren aurrizki batetik lortzen du helbidea, normalean 172.16.0.0/12 barrutian nonbait, eta ostalarira heltzen da egokitzaile birtual baten bidez. Ostalariak aurrizki horren bidea dauka eta trafikoa unean aktiboa den egokitzailearengana itzultzen du. Bide horren erdian ez dago makineria birtual bereizirik.
Diseinu horrek egiten du hutsegitea mekanikoa. Edukiontziak pakete bat bidaltzen duenean, ostalariak bide-kontsulta egiten du edukiontziaren aurrizkirako. Zein bidek irabazten duen, hara joaten da paketea, eta edukiontziak ez du horren gaineko iritzirik.
Zer aldatzen du VPN bezeroak bide horretan
Enpresa bezero batek bide multzo zabala eta tokiko azpisarera sarbidea ukatzen duen iragazki bat instalatzen ditu sarritan tunela aktibo dagoen bitartean. Asmoa defentsiboa da: konprometitutako tokiko sare batek ez luke makina babestu batera iritsi behar. Bigarren mailako efektua da ostalariaren bidea edukiontziaren aurrizkirako ez dela jada tokiko NAT sarea.
Horren ordez, kontsulta tunelekin bat dator eta paketea atebideari ematen zaio, zeinak ez baitu inoiz entzun edukiontzi helbide hori. Ping-ek huts egiten du, aplikazioak denbora agortzen du, eta edukiontzia hondatuta dagoela dirudi VPN ikonoa distira egiten duen bitartean. Begiratu ostalariaren taula konektatuta zauden bitartean eta lehia-bidea ikusgai dago.
| Container mode | Outbound path | Typical result behind the VPN |
|---|---|---|
| Windows, default nat | Host routes and translates container traffic | Container prefix follows the tunnel and fails |
| Windows, transparent | Container sits on the physical link | Depends on the local subnet being allowed |
| Linux engine on Docker Desktop | VM egress proxied by a host process | Often keeps working |
Zergatik jokatzen dute Linux edukiontziek beste modu batera
Linux motorrak edukiontziak makineria birtual arin baten barruan exekutatzen ditu, eta makineria horretatik irteten diren konexioak ostalari aldeko proxy batek irekitzen ditu edukiontziaren izenean. Ostalariak hasten du socket-a, beraz VPNaren arauak edukiontziaren aurrizkiari buruz ez dio modu berean aplikatzen, eta karga-lanak sarea iristen jarraitzen du.
Aldea horrek azaltzen du, halaber, zergatik ez diren Linux errezetak erraz eramaten. Bere tunela behar duen Linux edukiontzi bati TUN gailua eta NET_ADMIN gaitasuna ematen zaizkio. Windows edukiontziek ez dute inongo interfaze gailu gisa erakusten, beraz patroi horrek ez du baliokiderik alde horretan.
Froga ezazu bidea, eta gero aukeratu diseinua
Bildu frogak ostalariaren aldetik, ez edukiontziaren aldetik, ostalariak egiten baitu kontsulta:
docker network inspect nat --format "{{range .IPAM.Config}}{{.Subnet}}{{end}}"
route print -4
Get-NetRoute -AddressFamily IPv4 | Where-Object DestinationPrefix -like "172.16.*"Exekutatu bideen irteera behin VPN-a konektatu aurretik eta behin ondoren. Bigarren irteeran edukiontziaren aurrizkiak tunelaren egokitzailea seinalatzen badu, diagnostikoa osoa da eta edukiontziak berrabiarazteak ez du lagunduko.
Lehen aukera politika erabakia da: galdetu sarearen jabeari gailu honetarako tokiko LAN sarbidea baimendu daitekeen. Hainbat enpresa bezerok ezarpen gisa eskaintzen dute, baina muga deliberatu bat ahultzen du. Eskatu ezazu erredakzio dokumentatutako salbuespen gisa, jabea eta berrikuspen-data dituela. Inork berrikusten ez duen gailuko etengailu bat da defentsa-politika batek isilpean desagertzeko modua.
Politikari eutsi behar dion lekuan, mugitu karga-lana bidearekin borrokatu beharrean. Azpisare eta atebide espresua dituen sare garden batek edukiontziak tokiko estekan jartzen ditu, Linux karga-lana VM proxyaren atzean exekutatzen da, eta bere bezero propioa duen makineria birtual bereizia bere politika propioari eusten dio. Aukeratu bat deliberatuki eta probatu edukiontziaren barrutik, han sortzen baita erabiltzailearen eskaera.