Meshnet, Docker ба тэдний хоорондох зөвшөөрөл
Сүлжээний хань нийтлэгдсэн контейнерт хүрэхдээ хосткийн зөвшөөрөл болон Docker-ийн орчуулгыг туулна. Хоёулыг тус тусад нь хяна, эс бөгөөс буруу хамрах хүрээг зөвшөөрнө.
Хоёр URL хань ижилийн хөтчөөс ижил харагдаж болох ч галт хананд огт өөр зүйл илэрхийлж болно. Нэг нь хост дээр өөрөө сонсож буй үйлчилгээг заана. Нөгөө нь порт нь контейнерын сүлжээнд нийтлэгдсэн хост хаягийг заах бөгөөд тэнд орчуулгын алхам холболтыг өөр IP-д шилжүүлнэ. Хань бүрд зөвшөөрлөөр орон нутгийн сүлжээний хандалтыг удирддаг хань-хань сүлжээнд тэр ялгаа нь бүх хяналт юм.
Зөвшөөрөл нь хосткийн төгсгөлийн цэгт хамаарна, орчуулга нь Docker-т хамаарна, нэвтрэлт нь програмын тухай. Гурван шийдвэр, харах гурван газар.
Нийтлэсний дараа очих газрыг дага
Контейнерын 80 портыг хосткийн 8080 порт дээр нийтэлдэг Linux Docker хост ав. Хань 8080 дээр хосткийн сүлжээний хаягт холбогдоно, хост холболтыг хүлээн авч, очих газрын орчуулга үүнийг контейнерын гүүрэн хаяг руу, ихэвчлэн 172.17.0.2 шиг зүйл рүү, 80 порт дээр дахин бичнэ.
Дүрэм тэр урсгалыг шалгах үед сонирхолтой очих газар нь контейнер, хост биш. Зөвхөн «энэ машин дээрх үйлчилгээ» гэж үзэл боддог бодлого буруу объектын тухай үзэл боддог. Хүсэлт хост дээр буусан ч өөр газарт хүргэгдэж байна.
Тиймээс сүлжээний баримт бичиг Docker контейнеруудыг Linux дээр орон нутгийн сүлжээний зөвшөөрөл удирддаг нөөцийн тоонд оруулдаг. Зөвшөөрөл нь ердийн VPN зөвшөөрөгдсөн жагсаалтын бичлэгийн ижил утга биш бөгөөд хоёр хяналт бие биеийг орлохгүй. Нэг нь хань орон нутгийн нөөцөд хүрч чадах эсэхийг шийднэ; нөгөө нь туннель зам ямар очих газрыг зөөхийг шийднэ.
Зөвшөөрөл хэдий хэмжээний орон нутгийн хандалт өгөхийг шийд
Ханьд орон нутгийн сүлжээний хандалт өгөх нь ганц контейнерын шийдвэр биш. Энэ нь ижил хост дээрх бусад нийтлэгдсэн үйлчилгээг ил гаргаж болох бөгөөд хост хэрхэн дамжуулж байгаагаас хамааран улам хол хүрч болно. Нэг хянах самбарт зориулж унтраалгыг дарахаас өмнө бодит хамрах хүрээг хяна.
Дараа нь Docker портыг хаана нийтэлдэгийг хар. 0.0.0.0 дээр нийтлэх нь хосткийн хаяг бүр дээр сонсогчийг үүсгэдэг бөгөөд энэ нь сүлжээний бичлэгийн хажууд ердийн LAN бичлэг нэмж болно. Хэрэв шаардлага зөвхөн сүлжээ бол, нийтлэлийг чиний санаж буй тодорхой хаяг эсвэл интерфейст холбо ба өргөн холболтыг тав тух биш, тусдаа олдвор гэж үз.
Хосткийн дамжуулах бодлого болон програмын өөрийн баталгаажуулалтыг үйлчилгээнд хангалттай нарийн байлга. Хувийн харагдах URL нь хандалтын хяналт биш бөгөөд гүүрэн сүлжээн дэх бүх эх сурвалжид итгэдэг контейнер нь сүлжээний хань зөвшөөрөгдсөнөөр хамгаалагдахгүй. Програмын баталгаажуулалт нь гурав дахь шийдвэр бөгөөд хэрэглэгч хэн болохыг мэддэг цорын ганц шийдвэр. Хосткийн түвшний зөвшөөрөл тэр мэдлэгийг өгч чадахгүй.
Зөвшөөрлийг шалга, зөвхөн URL-ыг биш
Зөвшөөрөгдсөн ханьгаас яг тэр үйлчилгээг нээж, ажиллаж байгааг батал. Дараа нь татгалзагдсан хэвээр байх ёстой очих газрыг туршиж, ажиллахгүй байгааг батал. Зөвхөн азтай замыг турших нь зөвшөөрөл өгөгдсөнийг хэлнэ; хил нь чиний бодож байгаа газарт байгааг хэлэхгүй.
Хосткид төрөлх үйлчилгээг тусад нь харьцуул. Хэрэв өгөгдлийн сан хост дээр сонсож, хянах самбар контейнерт ажиллаж байвал тэд ижил зөвшөөрлөөр өөр замаар явдаг бөгөөд хосткийн дамжуулах бодлого тэднийг адилхан удирдахгүй байж болно. Хяналтын тэмдэглэл бичихээс өмнө аль нь аль болохыг тэмдэглэ.
Хандалтыг «дахин тохируулах» гэж Docker-ийн хүснэгт эсвэл сүлжээний клиентийн дүрмийг хоослох хэрэггүй. Хоёр бүтээгдэхүүн хоёулаа өөрийн бодлогын интеграцийг суулгадаг бөгөөд түүнийг устгах нь үнэлэхийг шаардсан хяналтуудыг тойрч, ажиллаж байгаа мэт харагдах хост үүсгэдэг. Дүрэм буруу харагдаж байвал уншаад яг тэр дүрмийг өөрчил. Дүрэм юу хийдгийг тайлбарлаж чадахгүй бол тэр нь олдвор, устгах шалтгаан биш.
Олдворыг системийн өөрийн нэр томьёогоор бич
Чухал нь бүтээгдэхүүн бодитоор хэрэгжүүлдэг ялгаа, хяналтын загвар дахь ялгаа биш: хосткийн төгсгөлийн цэгт хүрэх зөвшөөрөл, чиглүүлсэн хувийн нөөцөд хүрэх зөвшөөрөл, програмыг ашиглах зөвшөөрөл. Порт нийтлэх нь тэр гурван шийдвэрийг яг байсан газарт нь үлдээдэг бөгөөд тэднийг нэг гэж үздэг хянагч буруу хамрах хүрээг зөвшөөрнө.
Хосткийн хаяг, нийтлэгдсэн порт, контейнерын очих газар, ханьийн зөвшөөрлийг нэг өгүүлбэрт дурд. Тэр өгүүлбэрийг өөр хүн шалгаж чадна, тэгээд л энэ нь санал бус олдвор болдог.