Firwat Är Docker VPN-Portmappéierung OpenVPN ni erreecht

Äre Container ka op UDP 1195 lauschteren, wärend den Host 1194 verëffentlecht, an dat ass richteg soulaang d’Mappéierung et seet. D’Zuelen bilden eng Iwwersetzungstabell: de Client wielt den Hostport, Docker schreift d’Zil op de Containerport ëm, an OpenVPN äntwert op deem Port, deen seng eege Konfiguratioun nennt. Eng Ofwäichung op enger vun dëse Verbindunge produzéiert e stille Feeler, deen wéi eng Firewall ausgesäit. Zertifikater a Chiffréen leien duerno a kënnen en net reparéieren.

Verfollegt ee Paket vum Client bis zum Prozess, ier Dir eppes un der Authentifizéierung ännert.

Dräi Zuelen, eng Verbindung

Déi dräi Zuelen sinn d’wäit Zil, dat de Client benotzt, d’verëffentlecht Mappéierung um Host an de Lauschterer am Container. Si mussen net gläich sinn, awer si mussen eng Kette bilden. Gläich Zuelen sinn e Spezialfall, deen zoufälleg de geleefegsten ass, dofir ass eng Ofwäichung einfach eemol geschriwwen a schwéier méi spéit ze gesinn.

Schreift d’Kette an enger Linn op, ier Dir debuggt: Clientadress a -port, Hostmappéierung, Containerlauschterer, Transport. En Defekt an der Kette weist sech als eng Zuel, déi zweemol mat ënnerschiddleche Wäerter erschéngt.

Wat déi kuerz Syntax tatsächlech seet

An der kuerzer Form ass déi lénks Säit den Hostport an déi riets de Containerport, an en Ufank mat Schrägstréch wielt den Transport. Loosst den Ufank ewech, behandelt Docker d’Mappéierung als TCP, dofir ass en UDP-Lauschterer hannert enger Mappéierung ouni Protokoll en Lauschterer, deen keen erreecht. Dee Standard ass dokumentéiert an iwwerrascht nach ëmmer Leit, déi d’Zuelen passend gemaach hunn an d’Saach als fäerdeg ugesinn hunn.

Déi laang Form fixéiert d’Bindadress an de Protokoll explizit, wat déi zousätzlech Linne wäert ass fir alles, wat op en Netz ausgeriicht ass. Liest d’verëffentlecht Mappéierung zréck, amplaz der Datei ze vertrauen, déi se erstallt huet.

ports:
  - 1194:1195/udp

Wou d’Paket stoppe kann

Eng Ufro kann virum Docker, am Docker oder beim Lauschterer verluer goen. Virum Docker kann eng Cloudfirewall oder en Router stoen, dee seng eege Weiderleitung mécht, an deen Apparat brauch den Hostport an de richtege Transport. Am Docker schéckt eng Mappéierung op de falschen Containerport op eng zouenen Socket.

Dann de Lauschterer: D’OpenVPN-Konfiguratioun nennt e Port an e Protokoll, an e Client, dee bannen am Container op en aneren ukommt, erreecht näischt. TCP-Teste vun engem UDP-Service beweise op kengem vun dëse Stagen eppes, benotzt also den Transport, deen de Client benotze wäert.

Bindadressen entscheeden d’Erreechbarkeet

Eng verëffentlecht Mappéierung, déi un loopback gebonnen ass, ass nëmmen um Host erreechbar, wärend eng, déi un all Interface gebonnen ass, iwwerall erreechbar ass, wou d’Firewall et erlaabt. Déi zwee gesinn identesch aus an enger Compose-Datei, déi d’Adress ewechloosst, an den Docker-Standard ass de breeden.

Entscheet, wéi eng Belaaschtung d’Deployment wëll, a schreift se dann explizit. En internen Test, deen iwwer loopback verbënnt, an e wäite Client, deen net verbënne kann, kënnen allebéid genee Beschreiwunge vum selwechte Container sinn.

Liest de lafenden Zoustand

Iwwerpréift d’effektiv Mappéierung vum lafenden Container an de Lauschterer an hirem Netzwierknammraum. Eng Compose-Datei kann no dem Start vum Container geännert sinn, Bildmetadaten kënnen e Port deklaréieren ouni en ze verëffentlechen, an en zweete Container kann den Hostport schonn halen. E Port an engem Bild deklaréieren ass net en ze verëffentlechen, a keent vun deenen zwee ass datselwecht wéi lauschteren.

Dräi verschidde Zoustanden, dräi verschidde Kommandoen, an nëmmen déi lescht betrëfft OpenVPN.

Wann d’Mappéierung richteg ass

Soubal d’Paket OpenVPN erreecht, ass säi Log dee Plaz, wou een iwwer TLS an Authentifizéierung liest. Zertifikater nei ze generéieren, fir e Paket ze reparéieren, dat ni ukomm ass, ass verschwend Aarbecht, déi eng zweet Variabel dobäisetzt. Halt d’Mappéierungsnotiz nieft dem Clientprofil, sou datt déi nächst Persoun eng Linn liest amplaz all dräi Zuelen nei z’entdecken. Eng Paketopnam op der Hostsäit kläert, wéi eng vun den dräi Verbindungen falsch ass, an et kascht manner wéi eng Zertifikatserneierung.

D’Verëffentlechung iwwer d’Bréck ass de Fall, deen hei beschriwwen ass. Hostnetzwierk a geroutet Containeradresse sprange Piet iwwer d’Iwwersetzung, dofir bedeiten déiselwecht Zuelen eppes anescht an deene Konzepter.