Hos mencapai rakan IPsec, bekas Docker tidak

Anda ping hos jauh dari mesin Linux dan ia menjawab, jadi terowong berfungsi. Bekas di sebelah anda masih tamat masa, dan langkah seterusnya yang wajar ialah memulakan semula Docker. Bekas pada rangkaian jambatan biasanya bermula dengan alamat sumber berbeza dan masuk ke hos melalui penghantaran dan bukan melalui laluan keluar aplikasi hos itu sendiri, jadi ujian yang berjaya mengukur paket yang berbeza. Bagi terowong strongSwan berasaskan dasar, laluan biasa ke subnet jauh tidak mencukupi apabila paket yang dihantar tidak sepadan dengan dasar IPsec yang dipasang.

Panduan di bawah mengikut satu destinasi merentas dua sumber, membaca keadaan sebelum apa-apa diubah.

Mulakan dengan satu destinasi dan dua sumber

Pilih dahulu perkhidmatan yang diketahui mengikut IP, supaya anda tidak nyahpepijat DNS pada masa yang sama. Catat tiga fakta: awalan jambatan bekas, alamat sumber permintaan hos yang berjaya, dan pemilih trafik setempat serta jauh yang dirundingkan untuk terowong. Ketiga-tiga nombor itu menjelaskan hampir setiap kes gejala ini.

Kemudian ulangi permintaan yang gagal dari dalam bekas dan tangkap sumber yang sebenarnya digunakan. Jika alamat itu tidak diliputi oleh pemilih setempat, anda sudah tahu hasilnya, dan tiada penciptaan semula bekas akan mengubahnya.

Baca dasar sebelum menyentuh Docker

Pemeriksaan hos baca sahaja meliputi keputusan penghalaan, pangkalan data dasar dan peraturan yang memilih antaranya:

ip rule show
ip route show table all
ip xfrm policy

Senarai dasar menunjukkan pemilih dan arah tanpa perlu longgokan keadaan IPsec penuh bahan kunci, sebab itu selamat menampalnya ke dalam tiket. Cari pemilih setempat yang meliputi alamat hos tetapi bukan awalan jambatan. Semak juga pertindihan: laluan bekas yang menganggap destinasi jauh sebagai setempat tidak akan pernah menghasilkan paket yang dihantar seperti yang anda jangkakan, dan terowong dipersalahkan. Simpan senarai itu di sebelah alamat sumber bekas, kerana kedua-duanya bersama ialah seluruh perbandingan.

Jika awalan bekas tiada, berhenti dan putuskan seni bina sebelum menyunting apa-apa lagi. Selebihnya panduan ini menganggap anda telah bersetuju alamat sumber mana yang sepatutnya muncul di rangkaian.

Semak penapisan dan terjemahan mengikut urutan

Tembok api jambatan Linux Docker boleh menyekat penghantaran secara berasingan daripada IPsec. Dengan backend iptables, periksa laluan FORWARD dan keputusan DOCKER-USER, sambil ingat bahawa peraturan yang ditambah selepas keputusan terdahulu mungkin tidak pernah berjalan langsung. Backend nftables berintegrasi secara berbeza, jadi jangan cipta rantai DOCKER-USER semata-mata kerana contoh iptables menamakannya; semak backend mana yang sebenarnya digunakan daemon anda.

Kemudian semak terjemahan sumber. Peraturan MASQUERADE yang luas boleh mengubah paket yang sebelum ini sepadan dengan pemilih IPsec menjadi paket yang tidak lagi sepadan, dan kegagalan itu kelihatan tepat seperti masalah penghalaan. panduan penghantaran strongSwan mendokumenkan pengecualian NAT yang diperlukan sebelum terjemahan sedemikian bagi trafik yang sudah sepadan dengan dasar.

Pengecualian itu bukan cara menambah sumber bekas yang tidak diliputi ke dalam terowong. Ia hanya melindungi trafik yang sudah sesuai dengan reka bentuk, jadi selesaikan dahulu soalan pemilih dan laluan balik, kemudian selaraskan NAT dan penapisan dengan jawapannya. Jika anda mula meluaskan pengecualian itu, pemilih itulah yang perlu diubah, bukan peraturan NAT.

Kemudian putuskan dihalakan atau diterjemah

Subnet bekas yang dihalakan memerlukan kedua-dua rakan menerima subnet itu dan laluan balik jauh ke sana, yang biasanya bermakna perubahan pemilih di kedua-dua hujung dan perbualan dengan pemilik sebelah jauh. Reka bentuk yang sengaja diterjemah sebaliknya mesti mempersembahkan alamat yang diliputi dasar pada peringkat carian yang berkaitan, yang biasanya bermakna peraturan sempit dan terdokumen berbanding MASQUERADE lalai.

Tiada satu pun daripada kedua-dua susunan itu mengikut secara automatik daripada terowong hos yang berfungsi, dan memilih antara keduanya ialah keputusan reka bentuk yang mempunyai pemilik. Tuliskan mana yang anda pilih, kerana jurutera seterusnya akan memperolehnya semula daripada pembilang tembok api.

Perhatikan juga kegagalan hibrid: separuh set peraturan diterjemah dan separuh tidak, yang menghasilkan kejayaan berselang-seli yang bergantung pada port destinasi dan bukan pada apa-apa pada rangkaian.

Sahkan dengan sambungan baharu, bukan permulaan semula

Gunakan sambungan aplikasi baharu sambil memerhati pembilang tembok api yang sempit dan penerima jauh, supaya setiap pemerhatian mempunyai sumber. Permulaan semula Docker boleh mengubah keadaan peraturan dan juga akan mengganggu beban kerja, yang merugikan anda isyarat bersih yang anda cuba dapatkan.

Hasil yang tahan lama ialah empat pernyataan yang boleh anda tunjukkan: sumber bekas, laluan terlindung yang sepadan, penghantaran yang dibenarkan, dan balasan yang kembali. Apabila keempat-empatnya berlaku, bekas mencapai rakan atas sebab yang sama seperti hos.