ಹೋಸ್ಟ್ IPsec ಸಹವರ್ತಿ ತಲುಪುತ್ತದೆ, Docker ಕಂಟೇನರ್ ತಲುಪುವುದಿಲ್ಲ

ನೀವು Linux ಯಂತ್ರದಿಂದ ದೂರದ ಹೋಸ್ಟ್ಗೆ ping ಕಳುಹಿಸುತ್ತೀರಿ ಮತ್ತು ಅದು ಉತ್ತರಿಸುತ್ತದೆ, ಹಾಗಾಗಿ ಸುರಂಗ ಕೆಲಸ ಮಾಡುತ್ತಿದೆ. ನಿಮ್ಮ ಪಕ್ಕದ ಕಂಟೇನರ್ ಇನ್ನೂ ಸಮಯ ಮೀರಿ ನಿಲ್ಲುತ್ತದೆ, ಮತ್ತು ಮುಂದಿನ ಸಹಜ ಹೆಜ್ಜೆ Docker ಮರುಪ್ರಾರಂಭಿಸುವುದು. ಸೇತುವೆ ನೆಟ್ವರ್ಕ್ನ ಕಂಟೇನರ್ ಸಾಮಾನ್ಯವಾಗಿ ಬೇರೆ ಮೂಲ ವಿಳಾಸದಿಂದ ಪ್ರಾರಂಭವಾಗಿ, ಅಪ್ಲಿಕೇಶನ್ನ ಸ್ವಂತ ನಿರ್ಗಮನ ಮಾರ್ಗದ ಬದಲು ಫಾರ್ವರ್ಡಿಂಗ್ ಮೂಲಕ ಹೋಸ್ಟ್ ಒಳಗೆ ಬರುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಶಸ್ವಿ ಪರೀಕ್ಷೆ ಬೇರೆ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಅಳೆಯಿತು. ನೀತಿ ಆಧಾರಿತ strongSwan ಸುರಂಗಕ್ಕೆ, ಫಾರ್ವರ್ಡ್ ಆದ ಪ್ಯಾಕೆಟ್ ಸ್ಥಾಪಿತ IPsec ನೀತಿಗೆ ಹೊಂದಿಕೆಯಾಗದಿದ್ದಾಗ ದೂರದ ಸಬ್ನೆಟ್ಗೆ ಸಾಮಾನ್ಯ ಮಾರ್ಗ ಸಾಕಾಗುವುದಿಲ್ಲ.

ಕೆಳಗಿನ ಮಾರ್ಗದರ್ಶಿ ಒಂದು ಗಮ್ಯಸ್ಥಾನವನ್ನು ಎರಡು ಮೂಲಗಳ ಮೂಲಕ ಅನುಸರಿಸಿ, ಏನನ್ನೂ ಬದಲಿಸುವ ಮೊದಲು ಸ್ಥಿತಿಯನ್ನು ಓದುತ್ತದೆ.

ಒಂದು ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ಎರಡು ಮೂಲಗಳಿಂದ ಪ್ರಾರಂಭಿಸಿ

ಮೊದಲು IP ಮೂಲಕ ತಿಳಿದಿರುವ ಸೇವೆಯನ್ನು ಆಯ್ಕೆ ಮಾಡಿ, ಒಂದೇ ಸಮಯದಲ್ಲಿ DNS ಅನ್ನು ಸರಿಪಡಿಸಬೇಡಿ. ಮೂರು ಸತ್ಯಗಳನ್ನು ದಾಖಲಿಸಿ: ಕಂಟೇನರ್ನ ಸೇತುವೆ ಪೂರ್ವಪ್ರತ್ಯಯ, ಯಶಸ್ವಿ ಹೋಸ್ಟ್ ವಿನಂತಿಯ ಮೂಲ ವಿಳಾಸ, ಮತ್ತು ಸುರಂಗಕ್ಕೆ ಒಪ್ಪಿದ ಸ್ಥಳೀಯ ಹಾಗೂ ದೂರದ ಸಂಚಾರ ಆಯ್ಕೆಕಾರರು. ಆ ಮೂರು ಸಂಖ್ಯೆಗಳು ಈ ಲಕ್ಷಣದ ಬಹುತೇಕ ಪ್ರತಿಯೊಂದು ಪ್ರಕರಣವನ್ನೂ ವಿವರಿಸುತ್ತವೆ.

ನಂತರ ವಿಫಲ ವಿನಂತಿಯನ್ನು ಕಂಟೇನರ್ ಒಳಗಿನಿಂದ ಪುನರಾವರ್ತಿಸಿ ಮತ್ತು ಅದು ನಿಜವಾಗಿ ಬಳಸುವ ಮೂಲವನ್ನು ಹಿಡಿಯಿರಿ. ಆ ವಿಳಾಸವು ಸ್ಥಳೀಯ ಆಯ್ಕೆಕಾರದಿಂದ ಮುಚ್ಚಲ್ಪಟ್ಟಿಲ್ಲದಿದ್ದರೆ, ಫಲಿತಾಂಶ ನಿಮಗೆ ಈಗಾಗಲೇ ತಿಳಿದಿದೆ, ಮತ್ತು ಕಂಟೇನರ್ ಮತ್ತೆ ರಚಿಸುವುದರಿಂದ ಅದು ಬದಲಾಗುವುದಿಲ್ಲ.

Docker ಸ್ಪರ್ಶಿಸುವ ಮೊದಲು ನೀತಿಗಳನ್ನು ಓದಿ

ಓದಲು-ಮಾತ್ರ ಹೋಸ್ಟ್ ಪರಿಶೀಲನೆಗಳು ಮಾರ್ಗನಿರ್ಣಯ, ನೀತಿ ಡೇಟಾಬೇಸ್ ಮತ್ತು ಅವುಗಳ ನಡುವೆ ಆಯ್ಕೆ ಮಾಡುವ ನಿಯಮಗಳನ್ನು ಒಳಗೊಳ್ಳುತ್ತವೆ:

ip rule show
ip route show table all
ip xfrm policy

ನೀತಿ ಪಟ್ಟಿ ಆಯ್ಕೆಕಾರರು ಮತ್ತು ದಿಕ್ಕನ್ನು ಕೀ ಸಾಮಗ್ರಿಯಿಂದ ತುಂಬಿದ IPsec ಸ್ಥಿತಿ ಡಂಪ್ ಇಲ್ಲದೆ ತೋರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದನ್ನು ಟಿಕೆಟ್ನಲ್ಲಿ ಅಂಟಿಸುವುದು ಸುರಕ್ಷಿತ. ಹೋಸ್ಟ್ ವಿಳಾಸವನ್ನು ಮುಚ್ಚಿ, ಆದರೆ ಸೇತುವೆ ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಮುಚ್ಚದ ಸ್ಥಳೀಯ ಆಯ್ಕೆಕಾರವನ್ನು ಹುಡುಕಿ. ಹೊದಿಕೆಯನ್ನೂ ಪರಿಶೀಲಿಸಿ: ದೂರದ ಗಮ್ಯಸ್ಥಾನವನ್ನು ಸ್ಥಳೀಯ ಎಂದು ಪರಿಗಣಿಸುವ ಕಂಟೇನರ್ ಮಾರ್ಗ ಎಂದಿಗೂ ನಿರೀಕ್ಷಿತ ಫಾರ್ವರ್ಡ್ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಉತ್ಪಾದಿಸುವುದಿಲ್ಲ, ಮತ್ತು ದೋಷ ಸುರಂಗದ ಮೇಲೆ ಹೊರಿಸಲ್ಪಡುತ್ತದೆ. ಆ ಪಟ್ಟಿಯನ್ನು ಕಂಟೇನರ್ನ ಮೂಲ ವಿಳಾಸದ ಪಕ್ಕದಲ್ಲಿ ಇರಿಸಿ, ಏಕೆಂದರೆ ಎರಡೂ ಸೇರಿ ಇಡೀ ಹೋಲಿಕೆ.

ಕಂಟೇನರ್ ಪೂರ್ವಪ್ರತ್ಯಯ ಇಲ್ಲದಿದ್ದರೆ, ನಿಲ್ಲಿಸಿ ಮತ್ತು ಬೇರೆ ಏನನ್ನೂ ಸಂಪಾದಿಸುವ ಮೊದಲು ವಾಸ್ತುಶಿಲ್ಪವನ್ನು ನಿರ್ಧರಿಸಿ. ಉಳಿದ ಮಾರ್ಗದರ್ಶಿ, ಯಾವ ಮೂಲ ವಿಳಾಸವು ನೆಟ್ವರ್ಕ್ನಲ್ಲಿ ಕಾಣಬೇಕು ಎಂಬುದನ್ನು ನೀವು ಒಪ್ಪಿಕೊಂಡಿದ್ದೀರಿ ಎಂದು ಊಹಿಸುತ್ತದೆ.

ಫಿಲ್ಟರಿಂಗ್ ಮತ್ತು ಅನುವಾದವನ್ನು ಕ್ರಮವಾಗಿ ಪರಿಶೀಲಿಸಿ

Docker ನ Linux ಸೇತುವೆ ಫೈರ್ವಾಲ್ ಫಾರ್ವರ್ಡಿಂಗ್ ಅನ್ನು IPsec ನಿಂದ ಸ್ವತಂತ್ರವಾಗಿ ತಡೆಯಬಹುದು. iptables backend ನೊಂದಿಗೆ FORWARD ಮಾರ್ಗ ಮತ್ತು DOCKER-USER ನಿರ್ಧಾರಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ಹಿಂದಿನ ತೀರ್ಪಿನ ನಂತರ ಸೇರಿಸಿದ ನಿಯಮ ಎಂದಿಗೂ ಚಾಲನೆಯಾಗದಿರಬಹುದು ಎಂಬುದನ್ನು ನೆನಪಿಡಿ. nftables backend ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಸಂಯೋಜನೆಯಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾವುದೋ iptables ಉದಾಹರಣೆ ಅದನ್ನು ಹಾಗೆ ಕರೆದದ್ದಕ್ಕಾಗಿ ಮಾತ್ರ DOCKER-USER ಸರಪಣಿಯನ್ನು ರಚಿಸಬೇಡಿ; ನಿಮ್ಮ daemon ನಿಜವಾಗಿ ಯಾವ backend ಬಳಸುತ್ತದೆ ಎಂಬುದನ್ನು ಪರಿಶೀಲಿಸಿ.

ನಂತರ ಮೂಲ ಅನುವಾದವನ್ನು ಪರಿಶೀಲಿಸಿ. ವಿಶಾಲ MASQUERADE ನಿಯಮವು ಹಿಂದೆ IPsec ಆಯ್ಕೆಕಾರಕ್ಕೆ ಹೊಂದಿಕೆಯಾದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಇನ್ನು ಹೊಂದಿಕೆಯಾಗದ ಒಂದಕ್ಕೆ ಬದಲಿಸಬಹುದು, ಮತ್ತು ವೈಫಲ್ಯ ನಿಖರವಾಗಿ ಮಾರ್ಗ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣುತ್ತದೆ. strongSwan ಫಾರ್ವರ್ಡಿಂಗ್ ಮಾರ್ಗದರ್ಶಿ ಈಗಾಗಲೇ ನೀತಿಗೆ ಹೊಂದಿಕೆಯಾಗುವ ಸಂಚಾರಕ್ಕೆ ಅಂತಹ ಅನುವಾದಕ್ಕೆ ಮೊದಲು ಬೇಕಾದ NAT ವಿನಾಯಿತಿಯನ್ನು ದಾಖಲಿಸುತ್ತದೆ.

ಆ ವಿನಾಯಿತಿ ಸುರಂಗಕ್ಕೆ ಮುಚ್ಚದ ಕಂಟೇನರ್ ಮೂಲವನ್ನು ಸೇರಿಸುವ ದಾರಿಯಲ್ಲ. ಇದು ಈಗಾಗಲೇ ವಿನ್ಯಾಸಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗುವ ಸಂಚಾರವನ್ನು ಮಾತ್ರ ರಕ್ಷಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಮೊದಲು ಆಯ್ಕೆಕಾರ ಮತ್ತು ಹಿಂತಿರುಗುವ ಮಾರ್ಗದ ಪ್ರಶ್ನೆಗಳನ್ನು ಬಗೆಹರಿಸಿ, ನಂತರ NAT ಮತ್ತು ಫಿಲ್ಟರಿಂಗ್ ಅನ್ನು ಉತ್ತರಕ್ಕೆ ಹೊಂದಿಸಿ. ವಿನಾಯಿತಿಯನ್ನೇ ವಿಸ್ತರಿಸಲು ಪ್ರಾರಂಭಿಸಿದರೆ, ಬದಲಾಯಿಸಬೇಕಾದದ್ದು ಆಯ್ಕೆಕಾರ, NAT ನಿಯಮವಲ್ಲ.

ನಂತರ ಮಾರ್ಗೀಕೃತ ಅಥವಾ ಅನುವಾದಿತ ಎಂದು ನಿರ್ಧರಿಸಿ

ಮಾರ್ಗೀಕೃತ ಕಂಟೇನರ್ ಸಬ್ನೆಟ್ಗೆ ಎರಡೂ ಸಹವರ್ತಿಗಳು ಆ ಸಬ್ನೆಟ್ ಅನ್ನು ಸ್ವೀಕರಿಸಬೇಕು ಮತ್ತು ಅಲ್ಲಿಗೆ ದೂರದ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಇರಬೇಕು, ಇದು ಸಾಮಾನ್ಯವಾಗಿ ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಆಯ್ಕೆಕಾರ ಬದಲಾವಣೆ ಮತ್ತು ದೂರದ ಬದಿಯ ಮಾಲೀಕರೊಂದಿಗೆ ಸಂಭಾಷಣೆ ಎಂದರ್ಥ. ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಅನುವಾದಿತ ವಿನ್ಯಾಸವು ಬದಲಿಗೆ ಸಂಬಂಧಿತ ಹುಡುಕಾಟ ಹಂತದಲ್ಲಿ ನೀತಿಯಿಂದ ಮುಚ್ಚಲ್ಪಟ್ಟ ವಿಳಾಸವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಬೇಕು, ಇದು ಸಾಮಾನ್ಯವಾಗಿ ಡೀಫಾಲ್ಟ್ MASQUERADE ಬದಲು ಸಂಕುಚಿತ, ದಾಖಲಿತ ನಿಯಮ ಎಂದರ್ಥ.

ಈ ಎರಡು ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ ಯಾವುದೂ ಹೋಸ್ಟ್ನ ಕೆಲಸ ಮಾಡುವ ಸುರಂಗದಿಂದ ತಾನಾಗಿಯೇ ಬರುವುದಿಲ್ಲ, ಮತ್ತು ಅವುಗಳ ನಡುವಿನ ಆಯ್ಕೆ ಮಾಲೀಕರನ್ನು ಹೊಂದಿದ ವಿನ್ಯಾಸ ನಿರ್ಧಾರ. ಯಾವುದನ್ನು ಆರಿಸಿದಿರಿ ಎಂದು ಬರೆಯಿರಿ, ಇಲ್ಲದಿದ್ದರೆ ಮುಂದಿನ ಎಂಜಿನಿಯರ್ ಅದನ್ನು ಫೈರ್ವಾಲ್ ಕೌಂಟರ್ಗಳಿಂದ ಮತ್ತೆ ಪಡೆಯುತ್ತಾರೆ.

ಮಿಶ್ರ ವೈಫಲ್ಯವನ್ನೂ ಗಮನಿಸಿ: ನಿಯಮಗಳ ಅರ್ಧ ಭಾಗ ಅನುವಾದಿತ ಮತ್ತು ಅರ್ಧ ಭಾಗವಲ್ಲ, ಇದು ಗಮ್ಯಸ್ಥಾನ ಪೋರ್ಟ್ ಅನ್ನು ಅವಲಂಬಿಸಿ, ನೆಟ್ವರ್ಕ್ನ ಯಾವುದನ್ನೂ ಅವಲಂಬಿಸದ ಮಧ್ಯಂತರ ಯಶಸ್ಸನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ.

ಹೊಸ ಸಂಪರ್ಕದಿಂದ ಪರಿಶೀಲಿಸಿ, ಮರುಪ್ರಾರಂಭದಿಂದ ಅಲ್ಲ

ಹೊಸ ಅಪ್ಲಿಕೇಶನ್ ಸಂಪರ್ಕವನ್ನು ಬಳಸಿ ಮತ್ತು ಸಂಕುಚಿತ ಫೈರ್ವಾಲ್ ಕೌಂಟರ್ಗಳು ಹಾಗೂ ದೂರದ ಸ್ವೀಕರಿಸುವವರನ್ನು ಗಮನಿಸಿ, ಪ್ರತಿ ವೀಕ್ಷಣೆಗೂ ಮೂಲ ಇರಬೇಕು. Docker ಮರುಪ್ರಾರಂಭಿಸುವುದು ನಿಯಮಗಳ ಸ್ಥಿತಿಯನ್ನು ಬದಲಿಸಬಹುದು ಮತ್ತು ಕೆಲಸದ ಹೊರೆಯನ್ನೂ ಕೆಡಿಸುತ್ತದೆ, ಇದು ನೀವು ಪಡೆಯಲು ಪ್ರಯತ್ನಿಸಿದ ಸ್ವಚ್ಛ ಸಂಕೇತವನ್ನು ಕಳೆದುಕೊಳ್ಳುತ್ತದೆ.

ಟಿಕಾಯುವ ಫಲಿತಾಂಶ ನೀವು ತೋರಿಸಬಹುದಾದ ನಾಲ್ಕು ಹೇಳಿಕೆಗಳು: ಕಂಟೇನರ್ನ ಮೂಲ, ಹೊಂದಿಕೆಯಾಗುವ ಸಂರಕ್ಷಿತ ಮಾರ್ಗ, ಅನುಮತಿಸಿದ ಫಾರ್ವರ್ಡಿಂಗ್, ಮತ್ತು ಹಿಂತಿರುಗಿ ಬರುವ ಉತ್ತರ. ನಾಲ್ಕೂ ನಿಜವಾದಾಗ, ಕಂಟೇನರ್ ಹೋಸ್ಟ್ ತಲುಪುವ ಅದೇ ಕಾರಣಕ್ಕೆ ಸಹವರ್ತಿಯನ್ನು ತಲುಪುತ್ತದೆ.