Foilsiú port Docker i gcoinne an VPN: cá dtéann an freagra

Freagraíonn coimeádán foilsithe óna sheoladh féin roimh NAT droim ar ais. Is féidir le dhá dhearadh an freagra sin a choinneáil ar an gcosán poiblí, le costais dhifriúla.

Leanann an t-óstach ag freagairt SSH tar éis VPN lántolláin a theacht aníos, ach éiríonn seirbhís a foilsíodh le Docker ar an meaisín céanna ina tost. Níl aon rud cearr leis an éisteoir: tá an coimeádán ag rith, tá an mapáil phoirt ann, agus sroicheann an paicéad. Tá an coimeádán sláintiúil agus sroicheann an t-iarratas é i ndáiríre. Is é an difríocht ná cá dtosaíonn an freagra nuair a roghnaíonn Linux a bhealach, agus cinneann an difríocht sin cé acu den dá dhearadh thíos atá uait.

Lean an tuple tríd an NAT cinn scríbe

Tóg óstach ag 192.0.2.10, a fhoilsíonn TCP 2222 chuig coimeádán ag 172.30.240.5:22. Aistrítear iarratas ó 198.51.100.25 sula sroicheann sé an coimeádán, agus freagraíonn an coimeádán mar é féin.

WAN request:      198.51.100.25 -> 192.0.2.10:2222
after DNAT:       198.51.100.25 -> 172.30.240.5:22
container reply:  172.30.240.5:22 -> 198.51.100.25

Ag cinneadh bealaigh an óstaigh tá seoladh foinse an choimeádáin fós ag an bhfreagra. Athchuireann an t-aistriú droim ar ais an tuple foilsithe níos déanaí, agus is é sin an fáth a bhféachann an paicéad mícheart go díreach san nóiméad a roghnaítear an bealach.

Cén fáth a gcaillfidh riail óstach amháin é

Clúdaíonn riail a roghnaíonn an tábla WAN amháin do phaicéid ó 192.0.2.10 deamóin an óstaigh féin agus caillfidh sí an freagra seo a aistríodh ar aghaidh go hiomlán. Is é an seoladh foinse ar an bhfreagra 172.30.240.5, ní an t-óstach.

Is é an rócheartú ná gach rud ón gcoimeádán a ródú tríd an WAN, rud a shaorann freisin na naisc amach neamhghaolmhara an choimeádáin ón VPN. Is polasaí difriúil é sin ón gceann a iarradh, agus is iondúil go gcuireann sé iontas ar dhuine níos déanaí.

Is hook eile é meaitseáil iar-DNAT

Tugann doiciméadú Docker ar ballaí dóiteáin faoi deara go bhfeiceann scagadh úsáideora rialta an ceann scríbe iar-DNAT, mar sin ní hionann meaitseáil an phoirt fhoilsithe 2222 i riail rialta agus meaitseáil phort 22 an choimeádáin. Má tá an tuple bunaidh tábhachtach, úsáid an mheicníocht cheann scríbe bhunaidh atá tacaithe seachas a bheith ag buille faoi thuairim cén port atá le feiceáil.

Cruthaíonn an mhearbhall hook seo rialacha a bhféachann ceart agus nach meaitseálann riamh. Seiceáil na cuntair ar an riail féin sula ndéanann tú an polasaí a athscríobh. Deir riail gan aon bhuille leat go bhfuil sí á meas áit nach sroicheann an paicéad riamh.

Dearadh A: an cinneadh a iompar mar staid naisc

Is féidir le marc naisc an cinneadh iontrála a iompar tríd an aistriú, ach caithfear é a chur ar ais ar an bpaicéad sula ndéantar an chuardach bealaigh a bhfuil tábhacht leis. Is iad na céimeanna:

  1. Cuir réimse mairc agus tosaíocht rialach in áirithe nach dtagann siad salach ar Docker, ar an VPN ná ar úinéir polasaí eile.
  2. Aithin an nasc WAN nua atá beartaithe amháin ag pointe roimh DNAT ina bhfuil rianú naisc ar fáil.
  3. Taifead an cinneadh ar mharc na naisc, gan an t-iarratas bunaidh féin a bhrú isteach sa tábla WAN.
  4. Sa treo freagartha, cuir ar ais ar an bpaicéad do ghiotáin mhairc féin amháin sula ndéantar ródú.
  5. Roghnaigh tábla WAN iomlán luath go leor ionas nach féidir le riail VPN an lámh in uachtar a fháil ar dtús.

Teastaíonn na fíor-bhealaí nasctha agus an geata ón tábla sin. Teastaíonn iompar sainithe uaidh freisin nuair a bhíonn an bealach ar iarraidh. Is é titim chiúin isteach sa tollán an toradh is measa, mar tá an chuma ar an gcumraíocht go bhfuil sí ag obair fós. Teip dúnta ina ionad agus logáil é.

Dearadh B: críochnaigh ar an óstach

Coinníonn tosaigh a cumraíodh go toiliúil ar thaobh an óstaigh, amhail seachfhreastalaí TCP nó seachfhreastalaí droim ar ais os comhair an choimeádáin, an freagra ag teacht ó sheoladh an óstaigh. Iompraíonn rialacha a scríobhadh don óstach ansin mar a bhíothas ag súil, agus fanann an coimeádán ar a líonra príobháideach.

Is é an costas píosa gluaiste eile lena chumraíocht féin, a láimhseáil seoltaí foinse agus a rialuithe rochtana. De ghnáth is é an teorainn thacaithe is simplí é, agus is minic gurb é an freagra ceart é nuair a bheadh an polasaí ródaithe á chothabháil ag duine amháin a d'fhéadfadh imeacht.

Fíoraigh an t-athrú, ní an rún

Oscail nasc údaraithe nua ón taobh poiblí agus deimhnigh go bhfágann an freagra an comhéadan atá beartaithe. Ansin seiceáil go leanann iarratas neamhghaolmhar a chuireann an coimeádán chun cinn an VPN fós.

Ná glan tábla naisc an mheaisín chun riail amháin a thástáil: coinníonn iontrálacha atá ann cheana a mapáil níos luaithe, agus briseann an glanadh gach rud eile ar an óstach. Sainmhíníonn foilsiú poirt inrochtaineacht. Ní shainmhíníonn sé cosán an fhreagra. Scríobh an dearadh roghnaithe síos lena ainmneacha tábla, ionas nach bhfaighidh an chéad duine eile amach arís é le linn eachtra.

Ailt ghaolmhara