Wêrom jo Docker VPN-poartmapping OpenVPN nea berikt

Jo container kin op UDP 1195 harkje wylst de host 1194 publisearret, en dat is korrekt salang’t de mapping dat seit. De nûmers foarmje in oersettingstabel: de klant skillet de hostpoart, Docker herskriuwt de bestimming nei de containerpoart, en OpenVPN antwurdet op ’e poart dy’t syn eigen konfiguraasje neamt. In mismatch by ien fan dy keppelings soarget foar in stil falen dat der as in firewall útsjocht. Sertifikaten en sipers lizze streamôf hjirfan en kinne it net reparearje.

Folgje ien pakket fan klant oant proses foardat jo eat oan ’e ferifikaasje feroarje.

Trije nûmers, ien ferbining

De trije nûmers binne de fiere bestimming dy’t de klant brûkt, de publisearre mapping op ’e host, en de harker binnen de container. Se hoege net gelyk te wêzen, mar se moatte keppelje. Gelyke nûmers binne in spesjaal gefal dat tafallich it gewoane is, en dêrom is in mismatch maklik om ien kear te skriuwen en letter min te sjen.

Skriuw de keppeling as ien rigel del foardat jo debugge: klantadres en -poart, hostmapping, containerharker, transport. In defekt yn ’e keppeling lit him sjen as in nûmer dat twa kear mei ferskillende wearden ferskynt.

Wat de koarte syntaksis eins seit

Yn ’e koarte foarm is de lofterkant de hostpoart en de rjochterkant de containerpoart, en in skuinsstreek-efterheaksel kiest it transport. Lit it efterheaksel wei en Docker behannelet de mapping as TCP, sadat in UDP-harker efter in mapping sûnder protokol in harker is dy’t nimmen berikke kin. Dy standert is dokumintearre en ferrast noch altyd minsken dy’t de nûmers kloppend makken en it dien neamden.

De lange foarm set it bindadres en it protokol eksplisyt fêst, wat de ekstra rigels wurdich is foar alles wat op in netwurk rjochte is. Lês de publisearre mapping werom ynstee fan it bestân te fertrouwen dat it makke hat.

ports:
  - 1194:1195/udp

Wêr’t it pakket stopje kin

In fersyk kin foar Docker, by Docker of by de harker falle litten wurde. Foar Docker kin der in cloud-firewall of in router wêze dy’t syn eigen trochstjoering docht, en dat apparaat hat de hostpoart en it goede transport nedich. Binnen Docker stjoert in mapping foar de ferkearde containerpoart troch nei in sletten socket.

Dan de harker: OpenVPN syn konfiguraasje neamt in poart en protokol, en in klant dy’t binnen de container op in oare oankomt, berikt neat. TCP-testen fan in UDP-tsjinst bewiist neat yn ien fan dizze fazen, dus brûk it transport dat de klant brûke sil.

Bindadressen beslisse berikberens

In publisearre mapping bûn oan loopback is allinnich fan ’e host ôf berikber, wylst ien bûn oan alle ynterfaces berikber is wêr’t de firewall it talit. Dy twa sjogge der itselde út yn in Compose-bestân dat it adres weilitten, en de Docker-standert is de brede.

Beslis hokker bleatstelling de ymplemintaasje bedoelt, en skriuw it dan eksplisyt. In ynterne test dy’t oer loopback ferbynt en in fiere klant dy’t net ferbine kin, kinne beide akkurate beskriuwings fan deselde container wêze.

Lês de rinnende tastân

Undersykje de effektive mapping fan ’e rinnende container en de harker yn syn netwurknammeromte. In Compose-bestân kin bewurke wêze nei’t de container starte, byldmetadata kin in poart ferklearje sûnder it te publisearjen, en in twadde container kin de hostpoart al hâlde. In poart yn in byld ferklearje is net itselde as it publisearje, en gjin fan beide is itselde as harkje.

Trije ferskillende tastannen, trije ferskillende opdrachten, en allinnich de lêste giet oer OpenVPN.

Nei’t de mapping goed is

Sadree’t it pakket OpenVPN berikt, is syn loch it plak om oer TLS en ferifikaasje te lêzen. Sertifikaten opnij generearje om in pakket te reparearjen dat nea oankaam, is fergriemd wurk dat in twadde fariabele tafoeget. Hâld de mappingnotysje njonken it klantprofyl sadat de folgjende persoan ien rigel lêst ynstee fan alle trije nûmers opnij te ûntdekken. Ien pakketopname oan ’e hostkant beslist hokker fan ’e trije keppelings ferkeard is, en it kostet minder as in sertifikaatfernijing.

Bridsepublikaasje is it gefal dat hjir beskreaun wurdt. Hostnetwurken en rûte containeradressen slaan de oersetting oer, dus deselde nûmers betsjutte wat oars yn dy ûntwerpen.