હોસ્ટ IPsec સાથી સુધી પહોંચે છે, Docker કન્ટેનર નહીં

તમે Linux મશીનથી દૂરના હોસ્ટને ping કરો છો અને તે જવાબ આપે છે, એટલે ટનલ કામ કરે છે. તમારી બાજુનું કન્ટેનર હજી સમયમર્યાદામાં અટકે છે, અને આગળનું સ્વાભાવિક પગલું Docker ફરી શરૂ કરવાનું છે. બ્રિજ નેટવર્કનું કન્ટેનર સામાન્ય રીતે બીજા સ્રોત સરનામાથી શરૂ થાય છે અને હોસ્ટમાં એપ્લિકેશનના પોતાના નિકાસ માર્ગને બદલે ફોરવર્ડિંગ દ્વારા પ્રવેશે છે, તેથી સફળ પરીક્ષણે બીજું પેકેટ માપ્યું. નીતિ-આધારિત strongSwan ટનલ માટે દૂરના સબનેટ તરફ સામાન્ય માર્ગ પૂરતો નથી જ્યારે ફોરવર્ડ કરેલું પેકેટ સ્થાપિત IPsec નીતિ સાથે મેળ ખાતું નથી.

નીચેનું માર્ગદર્શન એક ગંતવ્યને બે સ્રોતોમાંથી અનુસરે છે અને કંઈ બદલતાં પહેલાં સ્થિતિ વાંચે છે.

એક ગંતવ્ય અને બે સ્રોતોથી શરૂ કરો

પહેલાં IP પ્રમાણે જાણીતી સેવા પસંદ કરો, જેથી સાથે સાથે DNS ડિબગ ન કરવું પડે. ત્રણ તથ્યો લખો: કન્ટેનરનું બ્રિજ પ્રીફિક્સ, સફળ થયેલા હોસ્ટ અનુરોધનું સ્રોત સરનામું, અને ટનલ માટે સંમત સ્થાનિક તથા દૂરના ટ્રાફિક સિલેક્ટર. આ ત્રણ સંખ્યાઓ આ લક્ષણના લગભગ દરેક કિસ્સાને સમજાવે છે.

પછી નિષ્ફળ અનુરોધ કન્ટેનરની અંદરથી પુનરાવર્તિત કરો અને જે સ્રોત ખરેખર વપરાય છે તે પકડો. જો તે સરનામું સ્થાનિક સિલેક્ટરમાં આવરી લેવાયું ન હોય, તો પરિણામ તમે પહેલેથી જાણો છો, અને કન્ટેનર ફરી બનાવવાથી તે બદલાશે નહીં.

Docker ને સ્પર્શતાં પહેલાં નીતિઓ વાંચો

ફક્ત-વાંચન હોસ્ટ તપાસ રૂટિંગ નિર્ણયો, નીતિ ડેટાબેઝ અને તેમની વચ્ચે પસંદગી કરતા નિયમોને આવરે છે:

ip rule show
ip route show table all
ip xfrm policy

નીતિ સૂચિ સિલેક્ટર અને દિશા બતાવે છે, કી સામગ્રીથી ભરેલા IPsec સ્થિતિ ડમ્પની જરૂર વગર, તેથી તેને ટિકિટમાં ચોંટાડવી સુરક્ષિત છે. એવું સ્થાનિક સિલેક્ટર શોધો જે હોસ્ટ સરનામું આવરે પણ બ્રિજ પ્રીફિક્સ નહીં. ઓવરલેપ પણ તપાસો: દૂરના ગંતવ્યને સ્થાનિક ગણતો કન્ટેનર માર્ગ કદી અપેક્ષિત ફોરવર્ડ કરેલું પેકેટ બનાવશે નહીં, અને દોષ ટનલ પર નાખવામાં આવે છે. તે સૂચિ કન્ટેનરના સ્રોત સરનામાની બાજુમાં રાખો, કારણ કે બંને મળીને આખી સરખામણી છે.

જો કન્ટેનર પ્રીફિક્સ ન હોય, તો થોભો અને બીજું કંઈ સંપાદિત કરતાં પહેલાં સ્થાપત્ય નક્કી કરો. બાકીનું માર્ગદર્શન માને છે કે તમે નક્કી કર્યું છે કે કયું સ્રોત સરનામું નેટવર્ક પર દેખાવું જોઈએ.

ફિલ્ટરિંગ અને અનુવાદ ક્રમમાં તપાસો

Docker નું Linux બ્રિજ ફાયરવોલ ફોરવર્ડિંગને IPsec થી સ્વતંત્ર રીતે અવરોધી શકે છે. iptables બેકએન્ડ સાથે FORWARD માર્ગ અને DOCKER-USER નિર્ણયો તપાસો, યાદ રાખો કે પહેલાંના ચુકાદા પછી ઉમેરાયેલો નિયમ કદી ન ચાલે. nftables બેકએન્ડ અલગ રીતે જોડાય છે, તેથી માત્ર એટલા માટે DOCKER-USER શૃંખલા ન બનાવો કે કોઈ iptables ઉદાહરણે તેને એ નામ આપ્યું; તપાસો તમારો daemon ખરેખર કયો બેકએન્ડ વાપરે છે.

પછી સ્રોત અનુવાદ તપાસો. વિશાળ MASQUERADE નિયમ તે પેકેટને, જે પહેલાં IPsec સિલેક્ટર સાથે મેળ ખાતું હતું, એવા પેકેટમાં બદલી શકે છે જે હવે મેળ ખાતું નથી, અને નિષ્ફળતા બરાબર રૂટિંગ સમસ્યા જેવી લાગે છે. strongSwan ફોરવર્ડિંગ માર્ગદર્શિકા એ NAT છૂટનું દસ્તાવેજીકરણ કરે છે જે પહેલેથી નીતિ સાથે મેળ ખાતા ટ્રાફિક માટે આવા અનુવાદ પહેલાં જરૂરી છે.

તે છૂટ ટનલમાં અનાવરિત કન્ટેનર સ્રોત ઉમેરવાનો રસ્તો નથી. તે ફક્ત એ ટ્રાફિકનું રક્ષણ કરે છે જે પહેલેથી ડિઝાઇનમાં બંધ બેસે છે, તેથી પહેલાં સિલેક્ટર અને પરત માર્ગના પ્રશ્નો ઉકેલો, પછી NAT અને ફિલ્ટરિંગને જવાબ સાથે મેળવો. જો તમે છૂટને જ પહોળી કરવા લાગો, તો બદલવાની વસ્તુ સિલેક્ટર છે, NAT નિયમ નહીં.

પછી નક્કી કરો રૂટેડ કે અનૂદિત

રૂટેડ કન્ટેનર સબનેટ માટે જરૂરી છે કે બંને સાથી તે સબનેટ સ્વીકારે અને ત્યાં સુધી દૂરનો પરત માર્ગ હોય, જેનો સામાન્ય અર્થ બંને છેડે સિલેક્ટર બદલવો અને દૂરની બાજુના માલિક સાથે વાત કરવી છે. જાણી જોઈને અનૂદિત ડિઝાઇનને બદલે સંબંધિત લુકઅપ તબક્કે નીતિથી આવરી લેવાયેલું સરનામું રજૂ કરવું પડે છે, જેનો સામાન્ય અર્થ ડિફોલ્ટ MASQUERADE ને બદલે સાંકડો, દસ્તાવેજીકૃત નિયમ છે.

આ બંને ગોઠવણમાંથી કોઈ પણ હોસ્ટની કામ કરતી ટનલમાંથી આપોઆપ નીકળતી નથી, અને તેમની વચ્ચે પસંદગી માલિકવાળો ડિઝાઇન નિર્ણય છે. લખો કે તમે કઈ પસંદ કરી, નહીં તો આગલો ઇજનેર તેને ફરી ફાયરવોલ કાઉન્ટરોમાંથી કાઢશે.

મિશ્ર નિષ્ફળતા પર પણ ધ્યાન આપો: નિયમસમૂહનો અડધો અનૂદિત અને અડધો નહીં, જે રોકાઈને સફળતા આપે છે જે ગંતવ્ય પોર્ટ પર આધાર રાખે છે, નેટવર્કની કોઈ વસ્તુ પર નહીં.

નવા કનેક્શનથી ચકાસો, પુનઃશરૂઆતથી નહીં

નવા એપ્લિકેશન કનેક્શનનો ઉપયોગ કરો અને સાથે સાંકડા ફાયરવોલ કાઉન્ટર તથા દૂરના પ્રાપ્તકર્તાને જુઓ, જેથી દરેક અવલોકનનો સ્રોત હોય. Docker ની પુનઃશરૂઆત નિયમોની સ્થિતિ બદલી શકે છે અને કાર્યભાર પણ ખલેલ પાડશે, જે તમે મેળવવા માંગતા હતા તે સ્વચ્છ સંકેત છીનવી લે છે.

ટકાઉ પરિણામ ચાર વિધાનો છે જે તમે બતાવી શકો: કન્ટેનરનો સ્રોત, મેળ ખાતો સુરક્ષિત માર્ગ, મંજૂર ફોરવર્ડિંગ, અને પાછું આવતું જવાબ. જ્યારે ચારેય ખરા હોય, કન્ટેનર જે કારણથી હોસ્ટ પહોંચે છે તે જ કારણથી સાથી સુધી પહોંચે છે.