Docker Swarm thar VPN: tá tascanna ag rith, teipeann ar ghlaonna seirbhíse

Trí bhainisteoir agus cúig oibrí thar dhá shuíomh, ceangailte le tollán, agus taispeánann docker service ls tascanna ag rith ar an dá thaobh agus téann glaonna idir sheirbhísí in am. Ní fheictear aon rud mícheart i logaí Swarm. Is é an meascán sin síniú fadhb sa phlána sonraí: d'aimsigh an plána rialaithe na nóid, agus ní dhearna na frámaí ionchochlaithe an turas riamh.

Caithfidh an moglach a bheith ann sula mbeidh an t-overlay ann

Brúnn overlay Swarm frámaí ionchochlaithe go díreach idir seoltaí nód, rud a chiallaíonn go dteastaíonn seoladh ó gach nód ar féidir le gach nód eile teacht air gan aistriú, ar an gcomhéadan a sholáthraíonn an tollán. Ní leor tollán nach n-iompraíonn ach cliaint chuig port foilsithe. Caithfidh an fho-lá a bheith in ann ródú ó nód go nód sa dá threo.

Tástáil é sin sula gcuireann tú lámh le Swarm. Ó gach nód, seiceáil an bealach chuig seoladh tolláin piara, déan ping air, agus ansin tástáil an port rialaithe. Má oibríonn ping agus mura n-oibríonn an port, tá an tollán ceart agus tá scagaire sa bhealach.

ip -brief address
ip route get 10.20.0.12
ping -c3 10.20.0.12
nc -vz 10.20.0.12 2377

Má dhíríonn an bealach ar an gcomhéadan fisiceach in áit tun0 nó wg0, ionchochlóidh an t-overlay ar sheoladh nach féidir leis an suíomh i bhfad i gcéin teacht air, agus breathnóidh an tsíomptóm ar chaillteanas paicéad.

Seiceáil cén seoladh a fhógraíonn gach nód

Fógraíonn an daemon seoladh amháin, agus úsáideann piaraí é don phlána sonraí. Ar óstach il-líonraithe is furasta an seoladh LAN nó poiblí a fhógairt agus an tollán ag iompar rud éigin eile. Scrúdaigh é in áit glacadh leis, agus pionn é ag am an cheangail le --advertise-addr nuair a bhíonn an réamhshocrú mícheart. Glactar le nód a fhógraíonn seoladh nach féidir ach leis féin teacht air isteach sa swarm mar sin féin, agus tagann an teip chun solais níos déanaí mar sheirbhísí nach féidir leo labhairt thar shuíomhanna.

Ní eagarthóireacht chumraíochta é an seoladh fógartha a athrú níos déanaí, mar caithfidh an nód imeacht agus teacht isteach arís.

Taifead an seoladh fógartha de réir nóid i do nótaí, mar míníonn sé formhór na dteipeanna neamhshiméadracha.

Is é Masquerade an ciontóir is gnáthaí

Nuair a shuíonn geata idir na nóid agus an tollán, is é an botún coitianta masquerade a dhéanamh ar gach rud a fhágann an comhéadan fisiceach. Athscríobhann sé sin seoltaí inmheánacha an overlay freisin, ionas go bhfeictear gach piara ag teacht ón geata agus stopann piaraí VXLAN ag aithint a chéile. Is é an toradh trácht ionchochlaithe atá ar iarraidh nó aontreoch agus pings lom fós ag obair.

Ródaigh réimír an overlay tríd an geata agus fág gan aistriú é. Má tá aistriú de dhíth i ndáiríre ar réimír eile, cuir teorainn leis ansin agus riamh leis an raon a úsáideann an t-overlay.

ip route add 172.16.0.0/22 via 10.20.0.1
iptables -t nat -I POSTROUTING -o tun0 -s 172.16.0.0/22 -j ACCEPT

Seiceáil ord na rialacha chomh maith leis an téacs, mar bhuaíonn MASQUERADE leathan níos luaithe sa slabhra ar eisceacht chúng níos déanaí.

Teastaíonn spás sa phaicéad ó VXLAN

Cuireann VXLAN 50 beart leis na frámaí a iompraíonn sé. Cruthaíonn fo-lá 1500 beart a iompraíonn fráma inmheánach 1500 beart paicéad ionchochlaithe nach seachadfaidh aon bhealach, agus breathnaíonn an teip ar aimsiú seirbhíse eatramhach seachas ar fhadhb mhéide. Ísligh MTU an tolláin ar an dá cheann nó socraigh MTU an overlay ionas go bhfógróidh an tiománaí ualach úsáideach a fhóireann.

docker network create --driver overlay --attachable --opt com.docker.network.driver.mtu=1400 swarm-overlay

Cruthaítear an líonra ingress go huathoibríoch, mar sin ciallaíonn athrú air é a bhaint agus a athchruthú seachas é a eagarthóireacht ina ionad.

Mura gceartaíonn tú ach taobh amháin den tollán, is é an MTU is lú fós an ceann a bhfuil tábhacht leis.

Faire ar an bplána sonraí, ní ar na logaí

Gabhadh port VXLAN ar an dá cheann. Ciallaíonn frámaí a fhágann taobh amháin agus a shroicheann an taobh eile go bhfuil an fho-lá ceart agus go bhfuil an fhadhb laistigh den overlay. Ciallaíonn frámaí a fhágann agus nach sroicheann riamh bealach nó scagaire. Ciallaíonn frámaí nach bhfágann ar chor ar bith go bhfuil an seoladh foinse mícheart.

Is gnách go dtíonn teipeanna aimsiú seirbhíse a ghlanann tar éis cúpla soicind chuig buiséad na bpaicéad nó chuig bealach atá ag flapáil, ní chuig córam raft.

Coinnigh an gabháil ó fhuinneog oibre, mar tá sé níos tapúla í a chur i gcomparáid leis an gceann briste ná an chumraíocht a athléamh.