VPN бүйір контейнеріне арналған ажыратқыш: шыққанда трафикті блокта

VPN контейнерінің желілік атау кеңістігін бөлісетін қолданба контейнерінің өз интерфейсі жоқ, сондықтан туннель істен шыққанда ол ештеңе жібере алмайды деп ойлау оңай. Бұл болжам маңызды болып табылатын ақау режимінде қате. Егер VPN процесі өліп, атау кеңістігі қалса, қолданба өз сокеттерін, атау кеңістігі өз маршруттарын сақтайды, және трафик әлі де орнатылған жолмен жалғасады. Нағыз ажыратқыш — бұл айқын сүзгілеу саясаты және орындау ортасының өмірлік циклін тексеру, ал іске қосылу тәуелділігі емес.

Атау кеңістігін бөлісу неге ажыратқыш емес

Атау кеңістігін бөлісу қолданба VPN контейнерінің интерфейстерін, мекенжайларын және маршрут кестесін пайдаланады дегенді білдіреді. Бұл бөлісілген атау кеңістігі бүтін болғанша қолданбаның желіге тәуелсіз жолын алып тастайды және туннель жоғалғанда ол атау кеңістігінің не істейтіні туралы ештеңе айтпайды.

Compose тәуелділік шарттары қолданбаның іске қосылуын тәуелділік сау болғанша кейінге қалдыра алады. Бұл уақыттың бір ғана сәтін қамтиды және кейінгі ешбір ақауды қамтымайды, сондықтан бұл іске қосылу тәртібінің құралы, үздіксіз шығыс брандмауэры емес.

Контейнер шыққанда шын мәнінде не болады

Үш оқиғаны ажыратыңыз. Контейнер ішіндегі VPN процесі контейнер жұмысын жалғастырған кезде өлуі мүмкін. Контейнер тоқтауы немесе жойылуы мүмкін, бұл атау кеңістігін жояды. Контейнер қайта жасалуы мүмкін, бұл жаңа атау кеңістігін және жаңа ережелерді құрады.

Бірінші жағдайда атау кеңістігі сақталады, әдепкі маршрут әлі де физикалық интерфейске сілтеуі мүмкін, және қолданба тікелей жіберуді жалғастырады. Екінші жағдайда тәуелді қолданба әдетте байланысты толығымен жоғалтады, өйткені оның атау кеңістігі жоғалды. Үшінші жағдайда қолданба туннель дайын болмай тұрып жаңа атау кеңістігіне қайта қосылуы мүмкін. Әр жағдай басқа тексеруді талап етеді, ал тек реттелген ажырауды қамтитын жоба ең қызықсыз жағдайды қамтиды.

Айқын шығыс саясатын құрыңыз

Саясатты бөлісілген атау кеңістігінің ішіне жазыңыз, ол қолданба пакеттеріне қолданылсын. Пішіні — тар ерекшеліктермен әдепкі түсіру: loopback, туннель интерфейсі, және туннель тасымалына қажет нақты соңғы нүктенің мекенжайы мен порты.

Соңғы нүкте ерекшелігі туннель көтерілмей тұрып болуы керек, әйтпесе VPN клиенті өз серверіне жете алмайды. Сондықтан ережелер жиынтығы физикалық интерфейске жалпы рұқсат берудің орнына сыртқы тасымалға айқын рұқсат береді. Атау кеңістігінде IPv6 байланысы болса, IPv6 ережелерін де қосыңыз, өйткені тек IPv4 қамтитын саясат басқа отбасын ашық қалдырады.

DNS та саясаттың бөлігі. Егер қолданба атауларды туннель ішінде ғана қолжетімді шешуші арқылы шешсе, туннель төменде тұрғанда түсіру ережесі шешуді бұзады, және бұл ажыратқыш үшін дұрыс мінез-құлық. Бұл сіз қалаған нәрсе ме, жоқ па, саналы түрде шешіңіз.

Өмірлік циклді тексеріңіз, тек үзілісті емес

Туннель сау кезде жаңа қауіпсіз сұраныс жіберіңіз, содан кейін VPN процесін өлтіріп, тағы біреуін жіберіңіз. Контейнер тоқтағаннан, қайта іске қосылғаннан және қайта жасалғаннан кейін қайталаңыз. Жаңа сұраныс маңызды, өйткені бар байланыс жаңаларын блоктайтын ереже өзгерісінен аман қалуы мүмкін.

Блоктау механизмі ретінде денсаулық тексеруіне немесе шығыс IP іздеуіне сенбеңіз. Тексеру күйді бақылайды және ол туралы хабарлайды; саясат трафикті басқарады. Екеуі бір орналастыруға жатады, және олар бірін-бірі алмастырмайды.

Ережелерді жазып қойыңыз, тексеру жаңартудан аман қалсын

Әрбір ақау жағдайының күтілетін нәтижесін оны іске асыратын ережелермен бірге орналастыру құжаттамасына жазыңыз. Бұл жазба бейне жаңартуынан немесе орындау ортасын жаңартудан кейін сол тексеруді іске қосуға мүмкіндік береді, өйткені атау кеңістігінің мінез-құлқы немесе әдепкі маршруттар ешкім compose файлын өңдеместен өзгеруі мүмкін.

VPN соңғы нүктесінің қажетті сыртқы жолын қолданбаның шексіз шығысынан бөлек ұстаңыз және DNS мен IPv6-ны көзделген қамту аясында ұстаңыз. Егер саясат ыңғайлылық үшін бүкіл физикалық интерфейске рұқсат берсе, ажыратқыш жоқ. Docker желілік құжаттамасы саясат сүйенетін бөлісілген атау кеңістігінің тәртібін сипаттайды, және орындау ортасының мінез-құлқы күмәнді болғанда жүгінетін анықтама сол.