ip netns exec an DNS: firwat Nimm am Namespace feel schloen

En Uerder erreecht 10.8.0.5 am VPN-Namespace ouni eng eenzeg Plainte, an deeselwechten Uerder feel schloeet dee Moment wou en en Hostnumm benotzt. Den Namespace huet seng eegen Interface’en, Routen a Sockets; hien huet keng eegen Resolver-Datei. Wann net eppes eng dohi setzt, liest de Prozess dobannen dem Host seng /etc/resolv.conf a freet e Server dee vun deem Netzwierkstapel aus vläicht net erreechbar ass.

Dëst ass en Datei-Wielproblem an net e Routingproblem, a genee dofir funktionéiert d’numeresch Destinatioun nach ëmmer.

Préift d’Resolversiicht déi de Prozess tatsächlech kritt

Gitt net dovun aus datt d’Shell déi Dir benotzt hutt gläichwäerteg mam Prozess ass deen Dir debuggst. Eng graphesch Applikatioun, eng systemd-Eenheet an e Container kënnen all an en anere Mount- oder Netzwierkkontext eragoen. Féiert d’Ufro iwwer deeselwechte Startwee aus, a dréckt d’Resolver-Datei vun dobannen.

Fir en Namespace dee mat ip netns add erstallt gouf ass d’Lies-nëmmen-Kontroll kuerz:

ip netns exec vpn cat /etc/resolv.conf

Mierkt Iech ob d’Resultat eng erreechbar Adress, e Loopback-Stub oder e symbolesche Link nennt deen op eng Plaz mat anerer Erreechbarkeet weist.

Wat den exec-Helfer tatsächlech mountéiert

D’Instrument ip-netns dokumentéiert d’Konfiguratioun pro Namespace ënner /etc/netns/NAME/. Wann et e Prozess start, erstellt den Helfer en Mount-Namespace a mountéiert déi Dateien iwwer hir gewéinlech Weeër, sou datt de Prozess d’namespacespezifesch Kopie gesäit. Dat ass eng Bequemlechkeet vun dësem spezifesche Starter. An en Netzwierk-Namespace iwwer en anere Wee eragoen, zum Beispill iwwer unshare oder eng Container-Runtime, reproduzéiert dat net automatesch.

Den Loopback-Resolver ass hei d’Fall: 127.0.0.53 bedeit dem Namespace seng eege Loopback, net dem Host säin Stub. E Stub deen nëmmen am Host-Namespace lauschtert gëtt keng Déngschtleeschtung am Neien.

Wielt e Resolver deen den Namespace erreeche kann

Wéi ee Server d’Datei och nennt, brauch hien nach ëmmer eng Route vun deem Namespace. En ëffentleche Resolver kann ëffentlech Nimm beäntweren an awer fir eng intern Zone feel schloen, well de private Service nëmmen iwwer den Tunnel erreechbar ass. Préift d’Route gläichzäiteg mat der Adress, net nodeems d’Ufro schonn feelgeschloen ass.

Applikatioune mat engem eegene Resolver, wéi eng déi DNS iwwer HTTPS benotzt, kënnen d’Datei komplett ignoréieren. Wann d’Instrument eng eege DNS-Astellung huet, ännert d’Ännerung vun resolv.conf näischt dorun, an den Namespace war ni de Problem.

Schreift d’Datei op déi richteg Plaz

Erstellt d’Datei pro Namespace ënner /etc/netns/NAME/resolv.conf a loosst de Starter se presentéieren. Halt se minimal: een oder zwee erreechbar Servere an d’Sichdömäne déi d’Aufgab brauch. Ännert net dem Host seng generéiert Resolver-Datei fir eng Siicht ze flécken déi fir eng Grupp Prozesser geduecht ass, well dat all Applikatioun op der Maschinn ännert. Wann den Host e Resolver-Manager benotzt, konfiguréiert den Namespace-Wee iwwer dee Manager amplaz géint hien ze kämpfen.

Hält den Inhalt vun der Datei am Runbook fest. Soss testt déi nächst Persoun dem Host säin Resolver, gesäit eng funktionéierend Äntwert a schléisst datt den Namespace an der Rei ass.

Testt de ganze Wee nach eng Kéier

Testt am Namespace mat enger numerescher Adress, engem internen Numm an engem ëffentlechen Numm. Dee Reiefolleg trennt d’Erreechbarkeet vun der Opléisung a trennt intern Zone vun ëffentlechen. Erstellt duerno den Namespace nei a widderhuelt, well eng Datei déi nëmmen an enger lafender Instanz existéiert mat hir verschwënnt.

Bestätegt datt de Prozess, net d’Shell, d’Datei kritt. Eng Ufro déi aus enger interaktiver Shell funktionéiert an aus engem Service feel schléit ass eng Erkenntnis iwwer de Mount-Kontext, an et lount sech se virum nächsten Tëschefall opzeschreiwen amplaz se vun Null un erëm ze entdecken.