In VPN-konfiguraasje oerlibbet it opnij meitsjen fan 'e container allinnich as jo it mounte
In bestân dat yn in rinnende container bewurke wurdt, wennet yn in laach dy't ferdwynt. Fergelykje bind mounts, volumes en secrets, meitsje dan opnij en kontrolearje fjouwer dingen.
Jo bewurkje de WireGuard-konfiguraasje yn in rinnende container, it wurket, en de folgjende image-ferzje wisket it út. Neat wie ferkeard konfigurearre. It bestân wenne yn 'e skriuwbere laach fan 'e container, dy't allinnich foar dy container-ynstânsje bestiet. De fergeliking dy't fan belang is, is net hokker helpmiddel jo brûke, mar hokker ynputten jo útrôljen ferklearret. Alles wat jo mei de hân bewurke hawwe, is in ynput dy't de útrôljen net ken.
Twa soarten steat, ien is fergees
In container hat in skriuwbere laach foar feroaringen dy't by it draaien makke wurde, en dy laach wurdt fuortsmiten as de container ferfongen wurdt. It is gjin konfiguraasje-opslach en it is gjin reservekopy. De image plus de ferklearre ynputten binne de hiele definysje fan wat draait.
Freegje hokker fan jo VPN-bestannen ferklearre ynputten binne en hokker tafal:
docker diff wg-vpn
docker inspect --format '{{json .Mounts}}' wg-vpnDe diff lit sjen wat yn 'e skriuwbere laach feroare is, en dat is krekt de set dingen dy't ferdwine sil. De mount-list lit sjen wat oerlibbet. It fergelykjen fan de beide beantwurdet de fraach foardat jo eat ferlieze.
Bind mount, neamd volume of secret: wat elk beskermet
Alle trije kinne in VPN-profyl hâlde, en se ferskille yn wa't it lêze kin en wat by ferfanging bart.
| Mechanism | Survives recreation | Who can read it |
|---|---|---|
| Writable layer | No | Anyone with container access, until it is gone |
| Bind mount | Yes, while the host path exists | Whatever the host permissions allow |
| Named volume | Yes, until the volume is removed | Managed by the runtime |
| Secret | Yes, as a declared input | The container process, by design |
In bind mount mappet in hostpaad, dus it bestân is sa beskerme as dat paad en sa sichtber as de rjochten fan 'e host tastean. In neamd volume wurdt troch de runtime beheard en oerlibbet it fuortheljen fan 'e container, wat it de feiliger standertkar makket foar steat dy't de útrôljen besit. In secret-meganisme is foar materiaal dat jo net yn in image of in omjouwingsfariabele wolle.
Behandelje net elke omjouwingsfariabele en elk hostbestân as lykweardige beskerming, want dat binne se net.
Bewurkje yn 'e container is de falstrik
De falstrik is net it helpmiddel, mar de rjochting fan 'e bewurking. In feroaring dy't yn in rinnende container makke wurdt, is ûnsichtber foar de útrôljen, dus it folgjende opnij meitsjen draait it stil werom en it symptoom liket op in regression yn 'e image. As jo dêr in feroaring meitsje moatte om te diagnostearjen, kopiearje it dan daliks nei bûten en set it yn 'e ferklearre ynput. Meitsje it dan opnij om te bewizen dat de útrôljen it reprodusearret.
In profyl kin partikuliere kaaien en akkountmateriaal drage, wat in reservekopy fan dat bestân in taak foar geheimbehear makket ynstee fan in bestânskopy. Hâld eigendom en lêstagonk tagelyk beheind ta it werklike proses fan 'e container, ynstee fan in hostmap te ferbreedzjen om in tastimmingsflater ferdwine te litten.
Dy ferbreedzjen is hoe't in geriif yn 'e container in bleatstelling fan 'e host wurdt.
Meitsje mei opsetsin opnij en kontrolearje dan fjouwer dingen
Skriuw de image-ferzje, it fereaske apparaat en de mooglikheden, de netwurkferbining en de bliuwende ynputten op. De list fan apparaat en mooglikheden is benammen wichtich foar in VPN-container, om't de tunnel it netwurkapparaat en it rjocht nedich hat om it te konfigurearjen.
Befêstigje hokker generearre runtime-steat wer opboud wurde moat ynstee fan bewarre. Kaaien dy't de tunnel by de earste start generearre, binne steat, en it beslút om se te hâlden of opnij te generearjen hat gefolgen foar elke peer dy't de âlde iepenbiere kaai ken.
Kontrolearje nei in kontrolearre opnij meitsjen identiteit, routing, DNS en de fereaske flaterblokkade. In proses dat sûnder flaters start, bewissiget gjin fan dy fjouwer. Kontrolearje it wylst de tunnel oan is en wer nei't jo him stoppe hawwe, want de flaterblokkade lit himsels allinnich sjen as de tunnel fuortgiet.
Hâld in werstelkopy bûten de container
Hâld in werstelkopy dy't ûnôfhinklik fan 'e container libbet, en test it weromsetten fia it dokumintearre proses. In ûnteste reservekopy fan in VPN-profyl is in hope, benammen as it werstelpaad rjochten omfettet dy't it containerproses nedich hat.
As in container dy't in VPN besit ferfongen wurdt, koördinearje dan de applikaasjes dy't syn netwurkstack diele binnen de stipe libbenssyklus fan 'e runtime.
Dy koördinaasje is it ferskil tusken in herstart en in útfal. De útrôljen moat beskriuwe wêr't de konfiguraasje wei komt, en de volume-dokumintaasje is it plak om te kontrolearjen wat de runtime wier bewarret.