Hýsillinn nær IPsec-jafningjanum, Docker-gámið ekki

Þú pingar fjarlæga hýsilinn frá Linux-vélinni og hann svarar, svo tunnan virkar. Gámið við hliðina á þér lendir enn í tímanum, og eðlilegt næsta skref er að endurræsa Docker. Gám á brúarneti byrjar venjulega með aðra uppsprettu og kemur inn í hýsilinn um framsendingu í stað útleiðar forritsins á hýsilnum, svo velheppnaða prófið mældi aðra pakka. Fyrir stefnumiðaða strongSwan-tunnu dugar venjuleg leið að fjarlæga undirnetinu ekki þegar framsendi pakkinn passar ekki við uppsettu IPsec-stefnuna.

Leiðsögnin hér að neðan fylgir einum áfangastað yfir tvær uppsprettur og les stöðuna áður en nokkuð er breytt.

Byrjaðu á einum áfangastað og tveimur uppsprettum

Veldu fyrst þjónustu sem er þekkt eftir IP, svo þú sért ekki að kemba DNS á sama tíma. Skráðu þrjár staðreyndir: brúarformerki gámsins, uppsprettuheimilisfang hýsilbeiðninnar sem virkaði, og samið staðbundið og fjarlægt umferðarval fyrir tunnuna. Þessar þrjár tölur útskýra næstum hvert tilvik þessara einkenna.

Endurtaktu svo misheppnuðu beiðnina innan úr gámnum og fangaðu uppsprettuna sem hann notar í raun. Ef þetta heimilisfang er ekki innan staðbundna valsins veistu þegar útkomuna, og engin endursköpun gámsins breytir því.

Lestu stefnurnar áður en þú snertir Docker

Hýsilathuganir aðeins til lestrar ná yfir leiðarákvarðanir, stefnugagnagrunninn og reglurnar sem velja á milli þeirra:

ip rule show
ip route show table all
ip xfrm policy

Stefnulistinn sýnir val og stefnu án þess að þurfa IPsec-stöðudump fullan af lykilefni, þess vegna er óhætt að líma hann í mál. Leitaðu að staðbundnu vali sem nær yfir heimilisfang hýsilsins en ekki brúarformerkið. Athugaðu líka skörun: gámaleið sem meðhöndlar fjarlæga áfangastaðinn sem staðbundinn mun aldrei framleiða væntan framsendan pakka, og tunnunni er kennt um. Geymdu listann við hlið uppsprettuheimilisfangs gámsins, því saman eru þau öll samanburðin.

Ef brúarformerki gámsins vantar skaltu stöðva og ákveða arkitektúrinn áður en þú breytir einhverju öðru. Afgangur leiðsagnarinnar gerir ráð fyrir að þið hafið samið um hvaða uppsprettuheimilisfang eigi að birtast á netinu.

Athugaðu síun og þýðingu í réttri röð

Linux-brúareldveggur Docker getur lokað á framsendingu óháð IPsec. Með iptables-bakendanum skaltu skoða FORWARD-leiðina og DOCKER-USER-ákvarðanirnar, og hafa í huga að regla sem bætt er við eftir fyrri dóm keyrir kannski aldrei. nftables-bakendinn tengist öðruvísi, svo búðu ekki til DOCKER-USER-keðju bara af því að iptables-dæmi nefndi hana; athugaðu hvaða bakenda daemoninn þinn notar í raun.

Athugaðu svo uppsprettuþýðingu. Breið MASQUERADE-regla getur breytt pakka sem áður passaði við IPsec-val í einn sem passar ekki lengur, og bilunin lítur nákvæmlega út eins og leiðarvandamál. framsendingarleiðarvísir strongSwan skjalfestir NAT-undanþáguna sem þarf fyrir slíka þýðingu fyrir umferð sem passar þegar við stefnu.

Sú undanþága er ekki leið til að bæta óþekktri gámauppsprettu við tunnuna. Hún verndar aðeins umferð sem passar þegar við hönnunina, svo leystu fyrst spurningar um val og bakleið og samræmdu svo NAT og síun við svarið. Ef þú byrjar að víkka undanþáguna í staðinn er valið það sem á að breyta, ekki NAT-reglan.

Ákveddu svo leið eða þýðingu

Leiðað gámaundirnet krefst þess að báðir jafningjar samþykki það undirnet og að fjarlæg bakleið liggi til þess, sem þýðir venjulega valbreytingu á báðum endum og samtal við eiganda fjarlægu hliðarinnar. Viljandi þýdd hönnun verður aftur á móti að sýna heimilisfang sem stefnan nær yfir á viðeigandi leitarstigi, sem þýðir venjulega þrönga, skjalfesta reglu í stað sjálfgefinnar MASQUERADE.

Hvort fyrirkomulagið fylgir ekki sjálfkrafa af virkri tunnu hýsilsins, og að velja á milli þeirra er hönnunarákvörðun með eiganda. Skrifaðu niður hvort þú valdir, því annars mun næsti verkfræðingur leiða það aftur út frá eldveggstölunum.

Fylgstu líka með blendingabilun: helmingur reglnanna þýddur og helmingur ekki, sem gefur slitróttan árangur sem fer eftir áfangastaðarporti en ekki neinu við netið.

Staðfestu með nýrri tengingu, ekki endurræsingu

Notaðu nýja forritstengingu á meðan þú fylgist með þröngum eldveggstölum og fjarlæga viðtakandanum, svo hver athugun hafi uppsprettu. Docker-endurræsing getur breytt stöðu reglna og mun einnig trufla vinnuálag, sem kostar þig hreina merkið sem þú vildir fá.

Varanlega niðurstaðan eru fjórar fullyrðingar sem þú getur sýnt: uppspretta gámsins, samsvarandi varin leið, leyfð framsending og svar sem kemur til baka. Þegar allar fjórar halda nær gámið jafningjanum af sömu ástæðu og hýsillinn.