Foilsiú port Docker agus foinsí VPN: dhá mheaitseáil a chailleann tú

Deir an riail cead a thabhairt do sheoladh an fhreastalaí VPN chuig an tseirbhís fhoilsithe, agus titeann an nasc fós. Tá an toradh sin coitianta, agus ní fabht Docker é. Tá dhá mheaitseáil ar leith mícheart: b’fhéidir nach é an fhoinse a scríobh tú an fhoinse a fhaigheann an t-óstach, agus b’fhéidir nach é an port a scríobh tú an port a fheiceann an scagaire. Chun an dá rud a cheartú caithfear féachaint ar chonair an phaicéid seachas ar léaráid na seirbhíse.

An miotas: cead an freastalaí VPN agus tá críochnaithe

Is féidir le VPN ródaithe seoladh tolláin an chliaint a choimeád go dtí an t-óstach Docker. Is féidir le geata a dhéanann aistriú foinse an seoladh sin a mhalartú lena cheann féin. Tá an dá dhearadh dlisteanach, agus táirgeann siad foinsí difriúla don ghníomh céanna úsáideora.

Mar sin cuireann an frása IP an fhreastalaí VPN síos ar thoimhde, ní ar bhreathnóireacht. Go dtí go mbeidh a fhios agat cé acu den dá dhearadh atá romhat, is buille faoi thuairim an riail.

Foinse: linn cliant nó geata aistrithe

Seiceáil ceithre rud in ord. Ar dtús, linn seoltaí na gcliant, mar shampla 10.90.0.0/24. Ar an dara dul síos, an n-aistríonn an geata an linn sin sula sroicheann sé an t-óstach. Ar an tríú dul síos, an fhoinse a bhreathnaíonn an t-óstach i ndáiríre do nasc nua amháin. Ar an gceathrú dul síos, an ndéanann fíordheimhniú na feidhmchláir idirdhealú idir úsáideoirí aonair, mar ní féidir le seoladh aistrithe comhroinnte é a dhéanamh.

Má chaomhnaítear an linn, cailleann riail nach meaitseálann ach seoladh poiblí an gheata gach cliant. Má aistríonn an geata d’aon ghnó, ligeann ceadú an tseolta aistrithe gach úsáideoir taobh thiar de isteach, rud a d’fhéadfadh a bheith inghlactha do sheirbhís a bhfuil a síniú isteach féin aici agus neamh-inghlactha do rud ar bith eile.

Port: athraíonn DNAT an uimhir a mheaitseálann tú

I bhfoilsiú droichid Linux is gnáth le iptables Docker, aistrítear mapáil óstaigh ó 8443 go port coimeádáin 443 sula n-oibríonn an scagaire seolta ar aghaidh. Sroicheann an paicéad an scagaire le port cinn scríbe 443. Ní spreagtar riail a mheaitseálann 8443 ag an bpointe sin choíche, cé gurb é 8443 a chlóscríobh an cliant.

Tá an port foilsithe fós i rianú nasc, agus is ar an ábhar sin is féidir an ceann scríbe bunaidh a mheaitseáil ansin nuair a bhíonn gá fíor leis.

Socraigh cén uimhir a chuireann an rún in iúl. Meaitseáil port an choimeádáin tar éis DNAT nuair a chosnaíonn an riail an tseirbhís laistigh den choimeádán. Meaitseáil an ceann scríbe bunaidh leis an rogha conntrack nuair a chaithfidh an riail cur síos a dhéanamh ar an rud a d’iarr an cliant, agus glac le costas meaitseála breise agus leis an gcúram faoi ord na rialacha a thagann leis.

Slabhra: DOCKER-USER, ní INPUT

Cuireann treoir iptables Docker polasaí seolta ar aghaidh an úsáideora sa slabhra DOCKER-USER, a mheastar roimh rialacha seolta ar aghaidh Docker féin. Scagann riail a cóipeáladh ó sheirbhís óstaigh isteach sa slabhra INPUT trácht atá dírithe ar an óstach, ní trácht a sheoltar ar aghaidh chuig coimeádán. Táirgeann an botún sin riail a bhféachann sé ceart uirthi agus nach bhfuil aon éifeacht aici ar chonair an choimeádáin.

Coinnigh an raon foinse, an port cinn scríbe éifeachtach, an prótacal agus an comhéadan iontrála le chéile sa riail chéanna. Tá ceadú ar bhonn foinse amháin do gach ceann scríbe a sheoltar ar aghaidh níos leithne ná ceadú aon tseirbhís amháin a foilsíodh.

Fíoraigh le naisc nua

Tástáil an dá threo le naisc nua: cliant VPN amháin a cheadaítear agus foinse amháin ar cheart di fanacht diúltaithe. Is féidir le staid nasc atá ann cheana seisiún a choimeád beo tar éis an polasaí a athrú, mar sin ní chruthaíonn sean-nasc aon rud faoin riail nua. Ansin seiceáil conair an fhreagra, mar caithfidh an coimeádán ródú ar ais go dtí an fhoinse a fheiceann sé fós.

Déanann treoir iptables Docker cur síos ar ord na slabhraí agus ar iompar aistriúcháin port taobh thiar de na seiceálacha seo. Léigh í sula gcóipeálann tú oideas, agus deimhnigh cén backend a úsáideann an Docker atá suiteáilte, mar déanann an backend nftables an polasaí a chomhtháthú ar bhealach difriúil.