Wêrom't privilezjeare modus breder is as in VPN nedich hat

De container woe syn tunnel net iepenje, dus waard de privilezjeare flag tafoege, en no wurket it. Dy folchoarder befêstige allinne dat teminsten ien tastimming ûntbruts, en it seit neat oer hokker. Privilezjeare modus jout in set mooglikheden en tagong ta apparaten folle breder as wat in tunnelinterface nedich hat.

Wat de flag eins feroaret

In privilezjeare container krijt brede mooglikheden en tagong ta apparaten fan de host, wat in folle gruttere tastimming is as it netwurkpaad easket. De krekte set wurdt troch de útfieromjouwing dokumintearre en net troch oerlevering fêstlein, en de Docker-dokumintaasje oer it draaien fan containers beskriuwt de beskikbere privilezje-opsjes. Ien kear lêze is genôch om te sjen dat tunnelearjen in lyts part fan it gehiel is.

Twa smeldere betingsten dekke de measte VPN-containers. It konfigurearjen fan in interface freget de mooglikheid foar netwurkbehear, en it iepenjen fan it tunneleapparaat freget tagong ta krekt dat apparaatknooppunt. Dat binne losse tastimmingen, en sels beide tegearre binne se smelder as de algemiene opsje. De rest fan de privilezjeare set hat neat mei de tunnel te krijen. Hy bestiet foar wurklêsten dy't echt tagong op hostnivo nedich hawwe, en in VPN-container is meastentiids net ien fan dy.

Keppelje elke flater oan ien betingst

De flatermelding fertelt jo hokker betingst ûntbrekt as jo it lêze foardat jo it ûnderdrukke. In melding oer in apparaatknooppunt neamt it apparaat, in melding oer in net tastiene operaasje neamt in mooglikheid, en in melding oer in module of in sysctl neamt kernelstipe. Elk fan dy hat in oare oplossing, en mar ien fan har is in mooglikheid.

In ûntbrekkend konfiguraasjebestân bliuwt ûntbrekke nei't elke mooglikheid jûn is, wêrom't privilezjeare modus soms hielendal neat feroaret. De container startet, de tunnel mislearret noch altyd, en de echte flater gie nea oer tastimmingen. Kernelstipe is it tredde gefal en it maklikst ferkeard lêzen. In module dy't net op de host laden is, kin net fan binnen in net-privilezjeare container laden wurde, en mear mooglikheden yn de container jaan feroaret de tastân fan de host net.

Kontrolearje de betingst, net it symptoom

Begjin by de minimale oanrop dy't it image dokumintearret, fierje it út, en bewarje de krekte flatertekst. Foegje dan ien tastimming tagelyk ta en notearje hokker tafoeging it resultaat feroare.

ls -l /dev/net/tun
docker run --rm --cap-add NET_ADMIN --device /dev/net/tun image:tag
ip -br link show type tun

In container dy't it apparaat sjocht en de mooglikheid hat mar dochs mislearret, fertelt jo dat it probleem earne oars leit. Dat is in nuttich resultaat, en privilezjeare modus soe it ferburgen hawwe.

Kontrolearje ek de apparaattastimmingen op de host, want in goed jûn apparaatknooppunt mei ferkeard groepseigendom produsearret deselde flater as in ûntbrekkende tastimming.

Notearje de smelste tastimming dy't wurket

Skriuw elk apparaat en elke mooglikheid op dy't de útrôlning nedich hat, mei de flater dy't it rjochtfeardige. Dat ferslach is wat de folgjende persoan tastean om iets feilich fuort te heljen, en dat is wat in auditor freegje sil as in container as privilezjeare rapportearre wurdt.

Besjoch ek de omlizzende kontekst, want hostnetwurk, hostmounts en útfieromjouwingsopsjes kinne elk de ynfloed fan in tastimming ferbreedzje. In isolearre laboratoariumoanrop dy't se allegear kombinearret is gjin produksjekonfiguraasje, hoe goed oft it ek wurke. Test de applikaasje, har DNS-gedrach en in tunnelmislearring foardat jo de útrôlning klear neame. Tastimming om in interface te meitsjen is gjin útgongbelied, en in container dy't perfekt tunnelearje kin, rûtelet noch altyd alles wat de applikaasje stjoert.