Яагаад онцгой горим VPN-д шаардагдахаас илүү өргөн вэ

Контейнер өөрийн туннелийг нээхийг хүсээгүй тул онцгой тугыг нэмсэн бөгөөд одоо ажиллаж байна. Тухайн дараалал нь дор хаяж нэг зөвшөөрөл дутагдсаныг л тогтоосон бөгөөд аль нь болохыг огт хэлэхгүй. Онцгой горим нь туннелийн интерфейст шаардагдахаас хамаагүй өргөн чадварын багц, төхөөрөмжийн хандалтыг олгодог.

Туг юу гэж өөрчлөгддөг вэ

Онцгой контейнер нь өргөн чадвар, хост төхөөрөмжүүдэд хандах эрх авдаг бөгөөд энэ нь сүлжээний зам шаарддахаас хамаагүй том зөвшөөрөл юм. Яг багцыг домог биш, ажиллуулах орчин баримтжуулдаг бөгөөд Docker-ийн контейнер ажиллуулах баримт бичиг нь боломжит онцгой эрхийн сонголтуудыг тайлбарладаг. Нэг удаа уншихад туннель нь бүхэлдээ багахан хэсэг гэдгийг харахад хангалттай.

Хоёр нарийн шаардлага ихэнх VPN контейнерийг хамардаг. Интерфейс тохируулахад сүлжээний удирдлагын чадвар шаардлагатай бөгөөд туннелийн төхөөрөмжийг нээхэд яг тэр төхөөрөмжийн зангилаанд хандах хэрэгтэй. Эдгээр нь тусдаа зөвшөөрлүүд бөгөөд хоёуланг нь өгсөн ч ерөнхий сонголтоос нарийн хэвээр. Онцгой багцын үлдсэн хэсэг нь туннельтай ямар ч холбоогүй. Энэ нь үнэхээр хост түвшний хандалт шаарддаг ачаалалд зориулагдсан бөгөөд VPN контейнер ихэвчлэн тэдгээрийн нэг биш.

Алдаа бүрийг нэг урьдчилсан нөхцөлтэй харгалзуул

Алдааны мессеж нь дарахаас өмнө уншвал ямар урьдчилсан нөхцөл дутагдаж байгааг хэлнэ. Төхөөрөмжийн зангилааны тухай мессеж төхөөрөмжийг нэрлэдэг, зөвшөөрөгдөөгүй үйлдлийн тухай мессеж чадварыг нэрлэдэг, модуль эсвэл sysctl-ийн тухай мессеж цөмийн дэмжлэгийг нэрлэдэг. Тэдгээр тус бүр өөр засвартай бөгөөд зөвхөн нэг нь чадвар юм.

Дутуу тохиргооны файл бүх чадварыг өгсний дараа ч дутуу хэвээр байдаг тул онцгой горим заримдаа юу ч өөрчлөхгүй. Контейнер эхэлдэг, туннель байсаар бүтэлгүйтдэг, бодит алдаа хэзээ ч зөвшөөрлийн тухай байгаагүй. Цөмийн дэмжлэг нь гурав дахь тохиолдол бөгөөд буруу уншихад хамгийн хялбар. Хост дээр ачаалагдаагүй модулийг онцгой бус контейнер дотроос ачаалж болохгүй бөгөөд контейнер дотор илүү олон чадвар өгөх нь хост-ын төлөвийг өөрчлөхгүй.

Шинж тэмдгийг биш, шаардлагыг шалга

Имиж баримтжуулсан хамгийн бага дуудлагаас эхэлж, ажиллуулаад бүтэлгүйтлийн яг текстийг хадгал. Дараа нь нэг удаад нэг зөвшөөрөл нэмж, аль нэмэлт үр дүнг өөрчилснийг тэмдэглэ.

ls -l /dev/net/tun
docker run --rm --cap-add NET_ADMIN --device /dev/net/tun image:tag
ip -br link show type tun

Төхөөрөмжийг харж, чадвартай боловч бүтэлгүйтдэг контейнер асуудал өөр газар байгааг хэлж байна. Энэ нь ашигтай үр дүн бөгөөд онцгой горим үүнийг нуух байсан.

Хост дээрх төхөөрөмжийн зөвшөөрлийг ч шалга, учир нь зөв олгосон төхөөрөмжийн зангилаа буруу бүлгийн эзэмшилтэй бол дутуу зөвшөөрөлтэй ижил алдаа гаргадаг.

Ажилладаг хамгийн нарийн зөвшөөрлийг тэмдэглэ

Байршуулалтад хэрэгтэй төхөөрөмж, чадвар бүрийг түүнийг зөвтгөсөн алдааны хамт бич. Энэ бүртгэл нь дараагийн хүнд ямар нэг зүйлийг аюулгүй хасах боломж олгодог бөгөөд контейнерийг онцгой гэж мэдээлэх үед аудитор шаардах нь ч энэ юм.

Эргэн тойрны нөхцөл байдлыг ч хяна, учир нь хост сүлжээ, хост холболт, ажиллуулах орчны сонголтууд тус бүр зөвшөөрлийн нөлөөг өргөжүүлж болно. Бүгдийг нь хослуулсан тусгаарлагдсан лабораторийн дуудлага, хичнээн сайн ажилласан ч, үйлдвэрлэлийн тохиргоо биш. Байршуулалтыг дууссан гэж зарлахаас өмнө програмыг, түүний DNS зан төлөв, туннелийн бүтэлгүйтлийг шалга. Интерфейс үүсгэх зөвшөөрөл нь гарах бодлого биш бөгөөд төгс туннель хийж чаддаг контейнер програмын илгээсэн бүгдийг маршрутласаар байна.