In webynterface berikke yn in VPN-kontener: kies de eigner fan de poarte

De app dielt de VPN-namromte, dus de poarte heart by de VPN-kontener. Bynk de harker goed, publisearje op de eigner en hâld it paad smel.

Der is neat mis mei de app en der is neat mis mei de tunnel, en dochs ladet it dashboard net. As in tsjinst mei network_mode: service:vpn rint, dielt dy de netwurk-namromte fan de VPN-kontener, wat betsjut dat syn harker en syn publisearre poarten by dy namromte hearre en net by de tsjinst. Trije besluten folgje dêrút: wêr't de app bynt, hokker kontener de poarte publisearret, en hoe smel it beheinpaad is. Set se yn de ferkearde folchoarder en elke yndividuele ynstelling liket goed, wylst de kombinaasje net wurkje kin.

Wa't de poarte-namromte besit

Yn in dielde namromte helpt it tafoegjen fan in ports:-ynfoer oan de ôfhinklike tsjinst neat, en ferskate netwurkopsjes wurde der by ûntwerp net foar stipe. Publisearje ynstee op de kontener dy't de namromte besit. Dy kontener is ek dejinge waans adres op de host ferskynt, dus de mapping wurdt lêzen as ien ynfoer en net ien per tsjinst.

services:
  vpn:
    image: vpn-client-image
    cap_add: [NET_ADMIN]
    ports:
      - "127.0.0.1:8080:8080"
  app:
    network_mode: "service:vpn"

Let op it adres links fan de mapping. Binen oan 127.0.0.1 hâldt de publisearre poarte op de loopback fan de host, wat in behearinterface meastentiids wol. Binen oan 0.0.0.0 leit it op elk hostinterface bleat, en dat is in oar feiligensbeslút, gjin gemak.

Lit de app harkje wêr't de namromte it ferwachtet

In harker dy't binnen de namromte oan 127.0.0.1 bûn is, is allinnich fan binnen dy namromte berikber. Publisearre hostpoarten komme fan bûten, dus de app moat in breder adres byn om de mapping wurkje te litten. Dat is in feroaring fan ien rigel by de measte servers, en dat is krekt de stap dy't minsken oerslaan nei't se in hurdensgids kopiearre hawwe dy't skreaun is foar in ymplemintaasje sûnder kontener.

docker compose exec app ss -lntp
docker port vpn
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080/

De harkerlist binnen de app fertelt de wierheid oer it bynadres, en docker port fertelt wat de eigner eins publisearre hat. As de earste 127.0.0.1 sjen lit en de twadde in hostmapping sjen lit, hawwe jo de misferhâlding fûn sûnder de VPN-konfiguraasje oan te reitsjen.

Kies hoe't it beheinpaad nei binnen komt

Der binne trije ridlike regelingen. Publisearje op de VPN-kontener en berik him fan de host of it lan. Set in omkearde proxy foar de namromte en jou de proxy de iennige bleatleine poarte. Of hâld it dashboard allinnich fan binnen de namromte berikber fia in exec-sesje of in SSH-tunnel, wat de lytste bleatstelling en it minste gemak is.

Hokker past hinget ôf fan wa't de interface nedich hat en fan wêr. Ien behearder op deselde host is tsjinne mei in loopback-bining. In team dat der oer it VPN by komt, hat in bewust paad en in neamde eigner nedich. It proxy-opsje kieze jout jo TLS en tagongslogs, tsjin 'e priis fan noch in komponint dat byholden wurde moat.

Iepenje de behearpoarte sûnder alles te iepenjen

It eigen lokale-tagong- of slotbelied fan 'e VPN-klant kin in ynkommend behearfersyk falle litte, sels wylst de útgeande tunnel perfekt wurket. Stean ien dokumintearre útsûndering ta foar de bedoelde boarne en poarte, en befêstigje dan dat de gewoane beskerming fan 'e tunnel net feroare is. It útskeakeljen fan 'e needskakelaar om in dashboard lade te litten ruilet in echte kontrôle foar in browser-tab.

Lit de eigen autentikaasje fan 'e app oan stean. Yn in oan VPN keppele stapel wêze jouwt net elke lokale brûker of elk apparaat dat de host berikke kin tastimming, en in net-autentisearre adminpaniel efter in tunnel bliuwt in net-autentisearre adminpaniel.

Kontrolearje fan it behearapparaat en kontrolearje letter wer

Test fan 'e masine dy't de tsjinst echt beheare sil, net fan 'e host, en kontrolearje dan apart it ynternetpaad dat de app nedich hat. In sukses yn behear bewiist ien rjochting en seit neat oer de útgong.

Test wer nei't de stapel opnij makke is. In ferfongen netwerkeigner feroaret de namromte dêr't de app him oan fêstmakket, en in URL dy't foar in update wurke koe dêrnei nearne nei wize. Skriuw de publisearre mapping en it bynadres op, sadat de folgjende weropbou in kontrôle fan twa minuten is ynstee fan in werhelle ûndersyk.

Relatearre artikelen