Docker: engin fyrirfram skilgreind vistfangasöfn eftir í VPN-lotu

Bilanin er skýr: Docker finnur ekkert ásættanlegt sjálfvirkt undirnet fyrir nýtt brúnett. Það þýðir ekki að vistföng vélarinnar séu uppurin, og ekki að VPN-ið sé bilað. Tvær spurningar ráða greiningunni: hvaða frambjóðendablokkir dæmoninn sér, og hverjum þeirra úthlutandinn hans útilokar í þessu umhverfi. Farið í gegnum þær í þessari röð, því seinni spurningin er merkingarlaus þar til búið er að svara þeirri fyrri.

Staðfestið hvað brást áður en þið breytið einhverju

Keyrið skrefin hér að neðan á þeim vélum sem keyra dæmoninn. Skel sem talar við fjarlægt samhengi lýsir annarri vél, og ein slík mistök geta eytt klukkustund.

Skráið Engine-útgáfuna í miðann á sama tíma. Sérhver þumalputtaregla í restinni af þessari handbók er útgáfubundin, og fullyrðing án útgáfu er orðrómur.

Teljið úthlutanirnar sem þið hafið þegar

Skráið netin og skoðið síðan þau sem skipta máli: docker network ls, svo docker network inspect NETWORK_NAME. Lesið IPAM-undirnet þeirra og gámana sem tengjast hverju. Nokkur Compose-verkefni eyða fleiri blokkum en gámatala þeirra bendir til, því hvert verkefni hefur tilhneigingu til að búa til sitt eigið sjálfgefna net. Stöðvaður gámur losar ekki úthlutun netsins síns.

Athugið einnig stillingar safnsins, því sjálfgefið safn hefur grunnsvið og forskeytisstærð fyrir hvert net. Stórar úthlutanir á hvert net eyða tiltækum blokkum hraðar, og það er staðreynd um afkastagetu, ekki leiðarvandamál.

Skrifið töluna niður. Hún er grunnlínan sem segir ykkur hvort næsta breyting hjálpaði.

Berið saman sýn dæmonsins á leiðir

VPN getur haft áhrif á val frambjóðenda, en nákvæm útfærsla ræður hvernig. Í Moby 28.2.2 á Linux safnar InferReservedNetworks vistföngum nafnaþjóna og ákveðnum on-link IPv4-leiðum, og það frátekur ekki einfaldlega hverja leið úr hverri töflu. Safnaðar hlekkjaleiðir útiloka líka ótilgreint áfangavistfang, svo ein leið 0.0.0.0/1 ein og sér frátekur ekki öll vistföng. Annað breitt on-link forskeyti, eins og 128.0.0.0/1, getur sneitt yfir kunn frambjóðendasvið 172 og 192.

Berið saman ip -4 route show table all fyrir og eftir að VPN tengist, á vél dæmonsins. Mismunurinn er sönnunin, og útgáfan er umfang fullyrðingarinnar.

Alhæfið ekki þumalputtareglur einnar útgáfu yfir á allar útgáfur. Þannig verður svar á vefspjalli að stefnubreytingu.

Veljið minnstu viðgerðina sem virkar

Ef staðfest ónotað net heldur blokk sem þið þurfið, skipuleggið markvissa afturköllun þess með eigandanum í stað þess að klippa vítt. Fyrir nýtt net forðast undirnet sem er sérstaklega yfirfarið og ónotað alla ósjálfstæði frá sjálfvirkri vali. Það undirnet verður samt að forðast raunveruleg Docker-, LAN- og nauðsynleg VPN-áfangamörk, því einkaaðili þýðir ekki öruggt. Að beina raunverulegu fjarlægu forskeyti myndi skipta úthlutunarvillunni út fyrir brotinn aðgang.

Breyting á default-address-pools er víðtækari stefna um framtíðarúthlutanir. Veljið grunn án árekstra og hæfilega úthlutaða stærð, sameinið hana við núverandi stillingar dæmonsins og skipuleggið skjalfest áhrif endurræsingar. Núverandi net eru ekki endurnúmeruð í hljóði.

Slökkvið ekki á sendingu fyrirtækjaleiða til að láta úthlutunina takast. Skýr vistfangaáætlun leysir yfirleitt staðbundið vandamál án þess að veikja skyldubundna stefnu.

Samþykkið úthlutun og leiðarstýringu aðskilið

Eftir breytinguna skoðið undirnetið sem Docker bjó í raun til og prófið VPN- og staðbundnar ósjálfstæði forritsins. Árangursrík úthlutun og rétt leiðarstýring á keyrslutíma eru tvö mismunandi samþykkispróf, og að standast það fyrra er ekki sönnun fyrir því síðara. Ef forritið nær ekki auðlind bak við göngin eruð þið með leiðarvandamál sem úthlutunarvillan faldi. Skráið bæði niðurstöðurnar í miðann.

Geymið leiðarmismuninn og safntöluna með breytingaskránni, því næsta VPN-biðlarauppfærsla getur breytt því fyrra án þess að snerta Docker.

Handbókin er fullkomin þegar einhver annar getur endurtekið þessi tvö próf og fengið sama svar.