Firwat de privilegiéierte Modus méi breet ass wéi eng VPN brauch

De Container wollt säin Tunnel net opmaachen, dofir koum de privilegiéierte Fändel dran, an elo funktionnéiert et. Dës Rei huet nëmmen bewisen, datt op d'mannst eng Erlaabnes gefeelt huet, an et seet näischt driwwer, wéi eng. De privilegiéierte Modus gëtt eng Rei Fäegkeeten an Apparatzougang, déi vill méi breet ass wéi eng Tunnel-Schnittstell brauch.

Wat de Fändel tatsächlech ännert

E privilegiéierte Container kritt breet Fäegkeeten an Zougang zu den Apparater vum Host, wat eng vill méi grouss Erlaabnes ass wéi de Netzwierkwee verlaangt. Déi genee Rei gëtt vun der Lafzäitomgebung dokumentéiert an net vun der Iwwerliwwerung festgeluecht, an d'Docker-Dokumentatioun iwwer d'Ausféiere vu Containeren beschreift déi verfügbar Privilegieoptiounen. Eemol liesen ass genuch, fir ze gesinn, datt den Tunnel e klengen Deel vum Ganzen ass.

Zwee méi schmuel Ufuerderunge decke déi meescht VPN-Containeren of. Eng Schnittstell ze konfiguréieren erfuerdert d'Fäegkeet fir Netzwierkadministratioun, an den Tunnelapparat opzemaachen erfuerdert Zougang zu just deem Apparatknuet. Dat sinn getrennt Erlaabnesser, an och déi zwee zesumme si méi schmuel wéi déi allgemeng Optioun. De Rescht vun der privilegiéierter Rei huet näischt mam Tunnel ze dinn. Et gëtt et fir Aarbechtslaaschten, déi wierklech Zougang um Hostniveau brauchen, an e VPN-Container ass normalerweis net eng vun deenen.

Maacht all Feeler mat enger Viraussetzung

D'Fehlermeldung seet Iech, wéi eng Viraussetzung feelt, wann Dir se liest, ier Dir se ënnerdréckt. Eng Meldung iwwer en Apparatknuet nennt den Apparat, eng Meldung iwwer eng net erlaabten Operatioun nennt eng Fäegkeet, an eng Meldung iwwer e Modul oder e sysctl nennt Kernelënnerstëtzung. Jiddwereen dovun huet eng aner Korrektur, an nëmmen eng dovun ass eng Fäegkeet.

Eng feelend Konfiguratiounsdatei bleift feelend, nodeems all Fäegkeet ginn ass, dofir ännert de privilegiéierte Modus heiansdo guer näischt. De Container startet, den Tunnel feelt nach ëmmer, an de richtegen Feeler hat ni mat Erlaabnesser ze dinn. Kernelënnerstëtzung ass den drëtten Fall an deen, deen am einfachste falsch gelies gëtt. E Modul, deen net um Host gelueden ass, kann net vun innerhalb engem net-privilegiéierte Container geluede ginn, an nach méi Fäegkeeten am Container ze ginn ännert den Zoustand vum Host net.

Iwwerpréift d'Ufuerderung, net d'Symptom

Fänkt mat dem minimale Opruff un, deen d'Image dokumentéiert, féiert en aus, a behält den exakten Text vum Feel. Dann füügt eng Erlaabnes no der anerer bäi a notéiert, wéi eng Bäifügung d'Resultat geännert huet.

ls -l /dev/net/tun
docker run --rm --cap-add NET_ADMIN --device /dev/net/tun image:tag
ip -br link show type tun

E Container, deen den Apparat gesäit an d'Fäegkeet huet awer nach ëmmer feelt, seet Iech, datt de Problem soss doruechter läit. Dat ass en nëtzlech Resultat, an de privilegiéierte Modus hätt et verstoppt.

Iwwerpréift och d'Apparaterlaabnesser um Host, well en richteg gegëweten Apparatknuet mat falschem Gruppebesëtz deeselwechte Feeler gëtt wéi eng feelend Erlaabnes.

Schreift déi schmuelst Erlaabnes op, déi funktionnéiert

Schreift all Apparat a Fäegkeet op, déi d'Opsetze brauch, zesumme mam Feeler, deen se gerechtfäerdegt huet. Dee Rekord ass et, deen der nächster Persoun erlaabt, eppes sécher ewechzehuelen, an et ass dat, wat en Auditor freet, wann e Container als privilegiéiert gemellt gëtt.

Kuckt och de Kontext ronderëm, well Hostnetzwierk, Hostmounten an Optiounen vun der Lafzäitomgebung kënnen all d'Impact vun enger Erlaabnes erweideren. En isoléierten Laboropruff, deen se all kombinéiert, ass keng Produktiounskonfiguratioun, sou gutt wéi en och funktionnéiert huet. Test d'Applikatioun, hiert DNS-Verhalen an e Tunnel feelt, ier Dir d'Opsetzen als fäerdeg bezeechent. D'Erlaabnes eng Schnittstell ze schafen ass keng Ausgangspolitik, an e Container, deen perfekt tunnelen kann, leet nach ëmmer alles weider, wat d'Applikatioun schéckt.