Il-pubblikazzjoni tal-portijiet ta' Docker kontra l-VPN: fejn tmur it-tweġiba

Kontenitur ippubblikat iwieġeb mill-indirizz tiegħu stess qabel in-NAT maqlub. Żewġ disinji jistgħu jżommu dik it-tweġiba fit-triq pubblika, bi spejjeż differenti.

L-host ikompli jwieġeb għall-SSH wara li titla' VPN b'tunnel sħiħ, filwaqt li servizz ippubblikat b'Docker fuq l-istess magna jiskot. M'hemm xejn ħażin fil-listener: il-kontenitur qed jaħdem, il-mapping tal-port jeżisti, u l-pakkett jasal. Il-kontenitur huwa f'saħħtu u t-talba tassew tilħqu. Id-differenza hija minn fejn tibda t-tweġiba meta Linux jagħżel ir-rotta tiegħu, u dik id-differenza tiddeċiedi liema miż-żewġ disinji hawn taħt għandek bżonn.

Segwi t-tuple permezz tan-NAT tad-destinazzjoni

Ħu host f'192.0.2.10 li jippubblika TCP 2222 lejn kontenitur f'172.30.240.5:22. Talba minn 198.51.100.25 tiġi tradotta qabel ma tasal għall-kontenitur, u l-kontenitur iwieġeb bħala hu stess.

WAN request:      198.51.100.25 -> 192.0.2.10:2222
after DNAT:       198.51.100.25 -> 172.30.240.5:22
container reply:  172.30.240.5:22 -> 198.51.100.25

Fid-deċiżjoni tar-rotta tal-host it-tweġiba għadha ġġorr l-indirizz tas-sors tal-kontenitur. It-traduzzjoni maqluba terġa' tistabbilixxi t-tuple ippubblikat aktar tard, u għalhekk il-pakkett jidher żbaljat eżatt fil-mument li tinagħżel ir-rotta.

Għaliex regola għall-host biss taqbiżha

Regola li tagħżel it-tabella WAN biss għall-pakketti minn 192.0.2.10 tkopri d-daemons tal-host stess u taqbeż għal kollox din it-tweġiba mgħoddija. L-indirizz tas-sors fuq it-tweġiba huwa 172.30.240.5, mhux l-host.

Il-korrezzjoni żejda hija li tgħaddi kollox mill-kontenitur permezz tal-WAN, li wkoll teħles mill-VPN il-konnessjonijiet ħerġin mhux relatati tal-kontenitur. Dik hija politika differenti minn dik mitluba, u normalment tissorprendi lil xi ħadd aktar tard.

It-tqabbil wara d-DNAT huwa hook ieħor

Id-dokumentazzjoni ta' Docker dwar firewalls tinnota li il-filtrazzjoni ordinarja tal-utent tara d-destinazzjoni wara d-DNAT, għalhekk it-tqabbil tal-port ippubblikat 2222 f'regola normali mhuwiex l-istess bħat-tqabbil tal-port 22 tal-kontenitur. Jekk it-tuple oriġinali huwa importanti, uża l-mekkaniżmu tad-destinazzjoni oriġinali appoġġjat minflok ma taħseb liema port huwa viżibbli.

Dan il-ħawwad tal-hooks jipproduċi regoli li jidhru korretti u qatt ma jaqblu. Iċċekkja l-kontaturi fuq ir-regola stess qabel ma terġa' tikteb il-politika. Regola mingħajr ebda hit tgħidlek li qed tiġi evalwata f'post li l-pakkett qatt ma jasal għalih.

Disinn A: ġorr id-deċiżjoni bħala stat tal-konnessjoni

Marka tal-konnessjoni tista' ġġorr id-deċiżjoni tad-dħul permezz tat-traduzzjoni, iżda trid tiġi restawrata fuq il-pakkett qabel it-tfittxija tar-rotta li tiftaħ xejn. L-istadji huma:

  1. Irriserva qasam tal-marka u prijorità tar-regola li ma jaqtgħux ma' Docker, mal-VPN jew ma' sid ta' politika ieħor.
  2. Identifika biss il-konnessjoni WAN ġdida maħsuba f'punt qabel id-DNAT fejn it-traċċar tal-konnessjonijiet huwa disponibbli.
  3. Irreġistra d-deċiżjoni fuq il-marka tal-konnessjoni, mingħajr ma ġġiegħel it-talba oriġinali stess fit-tabella WAN.
  4. Fid-direzzjoni tat-tweġiba, restawra biss il-bits tal-marka tiegħek fuq il-pakkett qabel l-irrotar.
  5. Agħżel tabella WAN sħiħa kmieni biżżejjed sabiex regola tal-VPN ma tistax tirbaħ l-ewwel.

Dik it-tabella teħtieġ ir-rotot konnessi reali u l-gateway. Teħtieġ ukoll imġieba definita meta r-rotta tkun nieqsa. Il-waqgħa siekta fil-tunnel hija l-agħar riżultat, għax il-konfigurazzjoni xorta tidher li qed taħdem. Minflok, iffalli magħluq u rreġistraha.

Disinn B: temm fuq l-host

Frontend ikkonfigurat apposta fuq in-naħa tal-host, bħal proxy TCP jew proxy maqlub quddiem il-kontenitur, iżomm it-tweġiba oriġinata mill-indirizz tal-host. Imbagħad ir-regoli miktuba għall-host iġibu ruħhom kif mistenni, u l-kontenitur jibqa' fuq in-netwerk privat tiegħu.

L-ispiża hija parti oħra li tiċċaqlaq bil-konfigurazzjoni, l-immaniġġjar tal-indirizzi tas-sors u l-kontrolli tal-aċċess tagħha. Normalment hija l-konfini appoġġjat l-aktar sempliċi, u spiss hija t-tweġiba t-tajba meta l-politika tal-irrotar tinżamm minn persuna waħda li tista' titlaq.

Ivverifika l-bidla, mhux l-intenzjoni

Iftaħ konnessjoni awtorizzata ġdida min-naħa pubblika u kkonferma li t-tweġiba toħroġ mill-interface maħsuba. Imbagħad iċċekkja li talba mhux relatata mibdija mill-kontenitur għadha ssegwi l-VPN.

Tħottx it-tabella tal-konnessjonijiet tal-magna biex tittestja regola waħda: l-entrati eżistenti jżommu l-mapping preċedenti tagħhom, u l-ħatt ikisser kollox ieħor fuq l-host. Li tippubblika port jiddefinixxi l-aċċessabbiltà. Ma jiddefinixxix it-triq tat-tweġiba. Ikteb id-disinn magħżul bl-ismijiet tat-tabelli tiegħu, sabiex il-persuna li jmiss ma jkollhiex terġa' tiskoprih waqt inċident.

Artikli relatati