DNAT i gcoimeádán VPN: aistriú, ní INPUT

Tagann an t-iarratas dírithe ar IP an tolláin agus fágann sé an coimeádán céanna dírithe ar sheirbhís chomharsanach. Idir an dá nóiméad sin, d'athscríobh DNAT an ceann scríbe, agus stop an paicéad de bheith ina ionchur don choimeádán VPN. Anois is trácht aistrithe é, a mheasann riail eile. Míníonn an t-athrú sin cén fáth nach bhfuil aon éifeacht ag riail balla dóiteáin atá ceart don seoladh tolláin ar an nasc aistrithe.

Lean an paicéad tar éis an aistrithe

Tóg linne cliant 10.90.0.0/24 agus seoladh tolláin 10.90.0.1. Tá dhá choimeádán ar dhroichead amháin: ritheann 192.0.2.2 an VPN agus ritheann 192.0.2.3 an feidhmchlár. Nascann cliant le 10.90.0.1:8080, agus athscríobhann riail DNAT i spás ainmneacha an choimeádáin VPN é chuig fíorsheoladh agus fíorphort an fheidhmchláir. Ansin seolann bealach an paicéad thar an droichead. Tá na seoltaí sin léiriúil, ní oideas imlonnaithe iad.

Féadfaidh an port a bhfuil an feidhmchlár ag éisteacht air i ndáiríre a bheith difriúil ó aon phort a fhoilsítear ar an óstach. Léigh an t-éisteoir taobh istigh den choimeádán seachas glacadh leis go n-aontaíonn an dá uimhir.

Baineann an cead leis an gcosán aistrithe

Teastaíonn aistriú IP ón gcoimeádán VPN agus cinneadh aistrithe atá teoranta don linne cliant, do sheoladh an fheidhmchláir agus don phort beartaithe. Teastaíonn a gcead féin ó fhreagraí bunaithe. Ní thabharfaidh riail a mheaitseálann seoladh bunaidh an tolláin meaitseáil tar éis DNAT, mar tá an ceann scríbe athraithe cheana féin. Is é cead INPUT an chrúca mícheart do thrácht nach bhfuil dírithe ar an óstach seo a thuilleadh.

Coinnigh an raon cúng: raon foinse amháin, ceann scríbe amháin, seirbhís amháin. Tá riail aistrithe cheadaithe níos éasca le scríobh agus i bhfad níos deacra le cosaint níos déanaí.

docker exec vpn-container ip route get 192.0.2.3
docker exec vpn-container iptables -t nat -S
docker exec vpn-container iptables -S FORWARD

Ní hiad slabhraí Docker slabhraí do choimeádáin

Ní hiad na rialacha taobh istigh de spás ainmneacha an choimeádáin rialacha an óstaigh Docker. Nuair a thrasnaíonn an trácht ó chomhéadan an tolláin chuig an droichead, féadfaidh balla dóiteáin an droichid ar an óstach cinneadh eile a dhéanamh. Le cúlra iptables Docker, is sna slabhraí aistrithe doiciméadaithe agus sna pointí meaitseála tar éis DNAT a thagann an cinneadh sin chun solais.

Déanann tagairt balla dóiteáin Docker cur síos ar na slabhraí sin agus ar an meaitseáil tar éis DNAT. Ná deisigh glacadh atá ar iarraidh trí bhainistíocht balla dóiteáin Docker a dhíchumasú nó trí gach slabhra a dhéanamh ceadaitheach, mar baineann sé sin an teorainn atá tú ag iarraidh a úsáid.

Déan cosán fillte de do rogha fheasach

Má choinnítear seoladh na foinse, feiceann an feidhmchlár 10.90.0.x agus caithfidh sé freagraí a ródú ar ais tríd an gcoimeádán VPN. Seachas sin seolfaidh a gheata Docker rialta chuig an óstach iad, nach bhfuil an tollán aige. Is é an rogha eile aistriú foinse atá cúng á theorannú ag an gcoimeádán VPN, a shimplíonn an freagra ach a cheileann an cliant ón bhfeidhmchlár. Roghnaigh go feasach agus scríobh síos cé acu a roghnaigh tú.

Tástáil nasc ceadaithe nua ó ghnáthchliant, ansin deimhnigh go bhfanann poirt neamhghaolmhara dúnta. Nuair a imíonn paicéad, scrúdaigh spás ainmneacha an VPN, spás ainmneacha an fheidhmchláir agus logáil an fheidhmchláir féin. Ní tástáil ghlactha don tseirbhís é ping chuig geata an droichid.

Coinnigh na rialacha i gcumraíocht tosaithe thacaithe an choimeádáin, mar imíonn eagarthóireacht idirghníomhach nuair a athchruthaítear é. Is cosán nochta difriúil é foilsiú port óstaigh agus ní gá é ach amháin toisc go bhfuil an tseirbhís inrochtana tríd an tollán.