Docker: tijekom VPN sesije nema preostalih unaprijed definiranih skupova adresa

Kvar je konkretan: Docker ne može pronaći prihvatljivu automatsku podmrežu za novu mostovnu mrežu. To ne znači da je računalu ponestalo adresa, niti da je VPN pokvaren. Dijagnozu određuju dva pitanja: koje kandidatne blokove daemon vidi i koje od njih njegov alokator isključuje u ovom okruženju. Prođite kroz njih tim redom, jer drugo pitanje nema smisla dok prvo nije odgovoreno.

Potvrdite što nije uspjelo prije nego što bilo što promijenite

Izvršite korake u nastavku na hostu koji pokreće daemon. Ljuska koja razgovara s udaljenim kontekstom opisuje drugo računalo, a sama ta pogreška može potrošiti sat vremena.

Zabilježite istodobno i verziju Engine u kartici. Svaka heuristika u ostatku ovog priručnika vezana je uz verziju, a tvrdnja bez verzije je glasina.

Prebrojite dodjele koje već imate

Izlistajte mreže, zatim pregledajte one koje su važne: docker network ls, a zatim docker network inspect NETWORK_NAME. Pročitajte njihove IPAM podmreže i kontejnere priključene na svaku. Nekoliko Compose projekata troši više blokova nego što sugerira broj njihovih kontejnera, jer svaki projekt nastoji stvoriti vlastitu zadanu mrežu. Zaustavljeni kontejner ne oslobađa dodjelu svoje mreže.

Provjerite i konfiguraciju skupa, jer zadani skup ima osnovni raspon i veličinu prefiksa po mreži. Velike dodjele po mreži brže iscrpljuju dostupne blokove, a to je činjenica o kapacitetu, ne problem usmjeravanja.

Zapišite broj. To je osnovna linija koja vam kaže je li sljedeća promjena pomogla.

Usporedite kako daemon vidi rute

VPN može utjecati na odabir kandidata, ali konkretna implementacija odlučuje kako. U Moby 28.2.2 na Linuxu InferReservedNetworks prikuplja adrese poslužitelja imena i određene on-link IPv4 rute i ne rezervira jednostavno svaku rutu iz svake tablice. Prikupljene link rute također isključuju neodređenu odredišnu adresu, pa jedna ruta 0.0.0.0/1 sama po sebi ne rezervira svaku adresu. Drugi široki on-link prefiks, poput 128.0.0.0/1, može presjeći poznate kandidatne raspone 172 i 192.

Usporedite ip -4 route show table all prije i nakon povezivanja VPN-a, na hostu daemona. Razlika je dokaz, a verzija je opseg tvrdnje.

Ne generalizirajte heuristiku jednog izdanja na svako izdanje. Tako odgovor s foruma postaje promjena politike.

Odaberite najmanji ispravak koji djeluje

Ako potvrđena neiskorištena mreža drži blok koji vam treba, isplanirajte njezino ciljano umirovljenje s vlasnikom umjesto širokog podrezivanja. Za novu mrežu, izričito pregledana neiskorištena podmreža posve izbjegava ovisnost o automatskom odabiru. Ta podmreža ipak mora izbjegavati stvarne Docker, LAN i potrebne VPN odredišta, jer privatno ne znači sigurno. Usmjeravanje stvarnog udaljenog prefiksa zamijenilo bi pogrešku dodjele za prekinut pristup.

Promjena default-address-pools šira je politika o budućim dodjelama. Odaberite bazu bez sukoba i odgovarajuću dodijeljenu veličinu, spojite je s postojećim postavkama daemona i isplanirajte dokumentirani utjecaj ponovnog pokretanja. Postojeće mreže ne prenumeriraju se tiho.

Ne onemogućujte slanje korporativnih ruta da bi dodjela uspjela. Izričit plan adresa obično rješava lokalni problem bez slabljenja obvezne politike.

Prihvatite dodjelu i usmjeravanje odvojeno

Nakon promjene pregledajte podmrežu koju je Docker stvarno stvorio i testirajte aplikacijske VPN i lokalne ovisnosti. Uspješna dodjela i ispravno usmjeravanje u radu dvije su različite provjere prihvaćanja, a prolazak prve nije dokaz za drugu. Ako aplikacija ne može doći do resursa iza tunela, imate problem usmjeravanja koji je pogreška skupa skrivala. Zabilježite oba rezultata u karticu.

Čuvajte razliku ruta i broj skupa uz zapis o promjeni, jer sljedeće ažuriranje VPN klijenta može promijeniti prvo bez diranja Dockera.

Priručnik je potpun kada netko drugi može ponoviti te dvije provjere i dobiti isti odgovor.