VPN-stillingar lifa endurgerð gámarinnar aðeins af ef þú tengir þær inn

Þú breytir WireGuard-stillingunum inni í keyrandi gámi, það virkar, og næsta image-uppfærsla þurrkar þær út. Ekkert var rangt stillt. Skráin bjó í skrifanlegu lagi gámsins, sem er til aðeins fyrir þetta tilvik gámsins. Samanburðurinn sem skiptir máli er ekki hvaða tól á að nota, heldur hvaða inntak uppsetningin þín skilgreinir. Allt sem þú breyttir handvirkt er inntak sem uppsetningin þekkir ekki.

Tvenns konar ástand, annað er einnota

Gámur hefur skrifanlegt lag fyrir breytingar sem gerðar eru á keyrslutíma, og því lagi er hent þegar gámnum er skipt út. Það er ekki stillingageymsla og ekki öryggisafrit. Image-ið ásamt skilgreindum inntökum er öll skilgreiningin á því sem keyrir.

Spurðu hvaða VPN-skrárnar þínar eru skilgreind inntak og hverjar eru tilviljanir:

docker diff wg-vpn
docker inspect --format '{{json .Mounts}}' wg-vpn

Diff telur upp hvað breyttist í skrifanlega laginu, og það er einmitt mengið af hlutunum sem munu hverfa. Mount-listinn sýnir hvað lifir af. Að bera saman þau tvö svarar spurningunni áður en þú tapar einhverju.

Bind mount, nefnt volume eða secret: hvað hvert verndar

Öll þrjú geta geymt VPN-prófíl, og þau eru ólík að því hver getur lesið hann og hvað gerist við útskiptingu.

Bind mount varpar host-slóð, svo skráin er jafn vel varin og sú slóð og jafn sýnileg og heimildir hostsins leyfa. Nefnt volume er stýrt af runtime-inu og lifir af fjarlægingu gámsins, sem gerir það að öruggari sjálfgefnum valkosti fyrir ástand sem uppsetningin á. Secret-mekanismi er fyrir efni sem þú vilt ekki í image-i eða umhverfisbreytu.

Ekki meðhöndla hverja umhverfisbreytu og hverja host-skrá sem jafngilda vernd, því þær eru það ekki.

Breytingar inni í gámnum eru gildran

Gildran er ekki tólið heldur stefnan á breytingunni. Breyting sem gerð er inni í keyrandi gámi er ósýnileg uppsetningunni, svo næsta endurgerð snýr henni hljóðlega til baka og einkennin líta út eins og afturför í image-inu. Ef þú verður að breyta einhverju þar til að greina vandann, afritaðu það strax út og settu í skilgreindu inntakið. Endurgerðu síðan til að sanna að uppsetningin endurskapi það.

Prófíll getur borið einkalykla og reikningsefnivið, sem gerir öryggisafrit af þeirri skrá að verkefni um meðferð leyndarmála frekar en skráarfrit. Haltu eignarhaldi og lesaðgangi takmörkuðum við raunverulegt ferli gámsins, í stað þess að víkka host-möppu svo að heimildavilla hverfi.

Sú víkkun er leiðin sem þægindi í gámi verða að afhjúpun hostsins.

Endurgerðu viljandi, staðfestu síðan fjóra hluti

Skráðu image-útgáfuna, nauðsynlega tæki og getu, nettenginguna og viðvarandi inntökin. Listi yfir tæki og getu skiptir sérstöku máli fyrir VPN-gám, því göngin þurfa nettækið og forréttindin til að stilla það.

Staðfestu hvaða myndaða keyrsluástand á að endurbyggja í stað þess að geyma. Lyklar sem göngin bjuggu til við fyrstu ræsingu eru ástand, og ákvörðunin um að halda þeim eða endurskapa þá hefur afleiðingar fyrir hvert peer sem þekkir gamla opinbera lykilinn.

Eftir stýrða endurgerð skaltu staðfesta auðkenni, leiðir, DNS og nauðsynlega bilunarlokun. Ferli sem ræsist án villna sannar ekkert af þessum fjórum. Athugaðu það á meðan göngin eru uppi og aftur eftir að þú stöðvar þau, því bilunarlokunin sýnir sig aðeins þegar göngin hverfa.

Haltu endurheimtarafriti utan gámsins

Haltu endurheimtarafriti sem lifir óháð gámnum, og prófaðu að endurheimta það með skjalfestu ferlinu. Óprófað öryggisafrit af VPN-prófíl er von, sérstaklega þegar endurheimtaleiðin felur í sér heimildir sem ferli gámsins þarf.

Ef gámi sem á VPN er skipt út, samstilltu forritin sem deila netstakkanum í samræmi við studdan lífsferil runtime-sins.

Sú samstilling er munurinn á endurræsingu og niðurfalli. Uppsetningin ætti að lýsa því hvaðan stillingarnar koma, og volume-skjöl eru staðurinn til að athuga hvað runtime-ið varðveitir í raun.