Nebula гэрэлт цамхагийн шүүлтүүр ба галт хана: аль нь юуг хаадаг

Гэрэлт цамхагийн зөвшөөрлийн жагсаалт нь хамтрагчийн зарлах эсвэл турших доод сүлжээний төгсгөлийн цэгүүдийг сонгодог. Галт ханын дүрэм гар барилтын дараа overlay доторх урсгалыг зохицуулна.

Nebula-гийн гар барилтыг буруу талаас харвал хоёр механизм солигддог мэт харагдана. Нэг нь зангилаа гэрэлт цамхагт ямар хаягуудыг мэдэгдэх, ямар алсын хаягуудыг туршихийг шийднэ; нөгөө нь туннель үүссэний дараа юу нэвтрэхийг шийднэ. Шүүлтүүр аливаа галт ханын дүрэм үнэлэгдэхээс өмнө холболтыг зогсоож чадна, харин галт ханын дүрэм илрүүлэлтийн устгасан төгсгөлийн цэгийг сэргээж чадахгүй. Хоёр давхарга өөр асуултад хариулдаг бөгөөд тэдний үйлдэх дараалал нь түлхүүр юм.

Нэг холболтыг дөрвөн үе шатаар дагаарай: зарласан локал хаяг, авч үзэж буй алсын төгсгөлийн цэг, гар барилт, overlay-ийн урсгал. Үе шат бүр өөрийн тохиргоо, өөрийн алдааны шинжтэй.

Зангилааны зарладаг локал хаягаас эхэл

local_allow_list энэ хостын локал хаягуудыг гэрэлт цамхагуудад мэдэгдэхээс өмнө шүүнэ. Бичлэгүүд хаягийн хүрээ байж болох бөгөөд тохиргоо интерфэйсийн нэрийн загварыг ч дэмждэг. Хост контейнерийн гүүр эсвэл хамтрагчийн төгсгөлийн цэг болох ёсгүй нэмэлт туннелийн интерфэйстэй үед энэ нь ашигтай.

Хостын интерфэйсүүдийг тойрч үзэж, алсын хамтрагч аль руу нь үнэхээр хүрч чадахыг асуу. Docker гүүрийн хаяг тэр хостод локал бөгөөд өөр сүлжээний хамтрагчид хэрэггүй. Үүнийг зарлах нь илрүүлэлтийг үрэх бөгөөд хамтрагчийг хэзээ ч хариу өгдөггүй хаяг руу илгээж болно. Хамтрагч чиглүүлж чадахгүй бүхэн гэрэлт цамхагийн хариулт дахь чимээ юм.

Энд нарийн зөвшөөрлийн жагсаалт өргөн хоригийн жагсаалтаас илүү аюулгүй. Зөвхөн зөвшөөрлийн бичлэг байвал тодорхойлоогүй үлдсэн хэсэг хасагдана; дараа нь хоригийн бичлэг нэмэх нь өгөгдмөл логикийг өөрчилж, тусдаа хяналт шаардана. Тэр өөрчлөлт өгөгдмөл утга руу хоёр дахь харцаар харах үнэ цэнэтэй.

Дараа нь алсын төгсгөлийн цэгийн сонголтыг ажигла

remote_allow_list гар барилтын үеэр энэ хост алсын хамтрагчийн хувьд авч үзэх хаягуудыг шүүнэ. Энэ нь доод сүлжээний хаягт хамаарна, туннель боссны дараа хамтрагчийн ашиглах overlay хаягт биш.

Хувийн хүрээ хуваалцсан оффисын сүлжээнд бүрэн ашигтай байж болох бөгөөд хоёр хост 10.0.0.0/8-ыг хоёулаа ашигладаг хамааралгүй сүлжээнд байвал утгагүй болно. Шүүлтүүр нь чиглүүлэх боломжтой замыг илүүд үзэх, санамсаргүй тохиоллыг үл тоомсорлох боломж олгоно.

Хамтрагч холбогдож чадахгүй бол туршиж буй хаягийг түүнд тохирох дүрэмтэй харьцуул. Гар барилтын логыг асааж, сонгосон алсын хаягийг унш; лог мөр нь шүүлтүүрээс гарсан төгсгөлийн цэгийг нэрлэдэг бөгөөд энэ нь хамтрагчийн эзэмшдэг хаягийн жагсаалтаас илүү ашигтай.

Зарладаг талын интерфэйсийн нэрийн шүүлтүүр хүлээн авагч тал харахаас өмнө төгсгөлийн цэгийг хасч болно. Зөвхөн нэг чиглэл бүтэлгүйтэх үед хоёр зангилааг шалга.

Гар барилтын дараа overlay-ийн хандалтын дүрэм үйлчилнэ

Nebula галт ханын дүрэм overlay-ийн дотор, туннель тогтоосны дараа ажиллана. Тэд хост, бүлэг, порт, протоколыг тааруулж, пакет локал хост руу орох эсвэл гарч болохыг шийднэ. Тэд доод сүлжээний төгсгөлийн цэгийг сонгодоггүй.

Энэ тусгаарлалт нийтлэг буруу оношлогоог тайлбарлана. Оператор портод галт ханын дүрэм нэмсэн ч холбогдож чадахгүй, учир нь гэрэлт цамхагийн шүүлтүүр хүрч болох цорын ганц төгсгөлийн цэгийг хасчихсан. Өөр оператор хаягийн шүүлтүүрийг нээсэн ч үйлчилгээнд хүрч чадахгүй, учир нь overlay-ийн галт хана портыг татгалздаг.

Алдааг зөв давхарга дээр унш. Хэзээ ч дуусахгүй гар барилт нь илрүүлэлт, төгсгөлийн цэгийн шүүлтүүр эсвэл сүлжээний зам руу заана. Дууссан гар барилтын дараа үйлчилгээний холболт татгалзагдсан эсвэл хаягдсан бол overlay-ийн галт хана эсвэл програмыг заана.

Зөвшөөрөл ба хориг хольсон үед өгөгдмөл утгыг унш

Гэрэлт цамхагийн тохиргоо зөвхөн-зөвшөөрөл, зөвхөн-хориг, холимог жагсаалтыг дэмждэг бөгөөд тодорхойлоогүй үлдсэн хэсгийн өгөгдмөл нь эдгээр хэлбэрийн хооронд ялгаатай. Холимог жагсаалтад хаягийн бүлгийн тодорхой өгөгдмөл хэрэгтэй; үлдсэн хэсэг өмнөх тохиргоо шиг ажиллана гэж үзэх нь ажиллаж байсан төгсгөлийн цэг чимээгүй алга болох зам юм.

lighthouse:
  local_allow_list:
    interfaces:
      docker0: false
  remote_allow_list:
    192.168.0.0/16: true
    default: false

Өгөгдмөлийг дүрмийн хэсэг гэж үз, загварын текст гэж бүү үз. Хэрэв бүлгийн өгөгдмөл нь хориг бол жагсаалтад ороогүй бүх хаяг хасагдана, тохиргоо бичигдсэний дараа нэмэгдсэн шинэ оффисын хүрээ ч орно.

Ямар хаягууд хүрч болохоор байх ёстойг тэмдэглэж, хоёр талаас турш. Нэг хамтрагчийн хослолд ажилладаг шүүлтүүр, цорын ганц нийтлэг зам нь жагсаалтаас хасагдсан хаягийг ашигладаг өөр хослолд бүтэлгүйтэж болно.

Шууд төгсгөлийн цэг хүрч болохгүй үед relay ашигла

Хэрэв кандидат төгсгөлийн цэг бүр шүүгдсэн эсвэл хүршгүй бол хариулт нь таны итгэдэггүй хаягуудыг дахин хүлээн авдаг илүү өргөн зөвшөөрлийн жагсаалт биш. Шууд холболт боломжгүй үед Nebula-гийн relay тохиргоо өөр хамтрагчийн зам санал болгодог.

Relay тээвэр, илрүүлэлтийг шийддэг, зөвшөөрлийг биш, мөн галт ханыг тэлдэггүй. overlay-ийн галт хана ямар үйлчилгээг ашиглаж болохыг шийдсээр байгаа бөгөөд relay нь гэрэлт цамхагийн шүүлтүүрийг хандалтын хяналтын механизм болгодоггүй.

Шууд төгсгөлийн цэгүүдийг унтрааж relay замыг туршиж, зорьсон үйлчилгээ ажилласаар байгаа, харин зорьсоогүй үйлчилгээ ажиллахгүй байгааг батал. Тэр нэг шалгалт тээврийн засварыг бодлогын өөрчлөлтөөс тусгаарлаж, хоёр давхаргыг шударга байлгана.

Холбоотой нийтлэлүүд