Il-host jilħaq il-peer IPsec, il-kontenitur Docker le

Inti tagħmel ping lill-host remot mill-magna Linux u jwieġeb, mela t-tunnel jaħdem. Il-kontenitur ħdejk għadu jiskadi, u l-pass naturali li jmiss hu li terġa’ tibda Docker. Kontenitur fuq netwerk tal-pont normalment jibda b’indirizz tas-sors differenti u jidħol fil-host permezz ta’ forwarding minflok mill-passaġġ tal-ħruġ tal-applikazzjoni nnifisha, mela it-test li rnexxa kejjel pakkett differenti. Għal tunnel strongSwan ibbażat fuq politika, rotta ordinarja lejn is-subnet remot mhijiex biżżejjed meta l-pakkett mgħoddi ma jaqbilx mal-politika IPsec installata.

Il-mixja hawn taħt issegwi destinazzjoni waħda minn żewġ sorsi, filwaqt li taqra l-istat qabel ma jinbidel xejn.

Ibda minn destinazzjoni waħda u żewġ sorsi

Agħżel l-ewwel servizz magħruf bl-IP, biex ma tkunx qed tiddibbugja DNS fl-istess ħin. Innota tliet fatti: il-prefiss tal-pont tal-kontenitur, l-indirizz tas-sors tat-talba tal-host li ħadmet, u s-seletturi tat-traffiku lokali u remonti nnegozjati għat-tunnel. Dawk it-tliet numri jispjegaw kważi kull każ ta’ dan is-sintomu.

Imbagħad erġa’ għamel it-talba falluta minn ġewwa l-kontenitur u aqbad is-sors li tassew juża. Jekk dak l-indirizz mhuwiex kopert mis-selettur lokali, diġà taf ir-riżultat, u l-ebda ħolqien mill-ġdid tal-kontenitur ma jbiddlu.

Aqra l-politiki qabel ma tmiss Docker

Il-verifiki tal-host b’qari biss ikopru d-deċiżjonijiet tar-routing, il-bażi tad-data tal-politiki u r-regoli li jagħżlu bejniethom:

ip rule show
ip route show table all
ip xfrm policy

Il-lista tal-politiki turi s-seletturi u d-direzzjoni mingħajr ma jkun hemm bżonn ta’ dump tal-istat IPsec mimli materjal taċ-ċavetta, għalhekk huwa sigur li tpoġġiha fi ticket. Fittex selettur lokali li jkopri l-indirizz tal-host iżda mhux il-prefiss tal-pont. Iċċekkja wkoll it-trasversament: rotta tal-kontenitur li tqis id-destinazzjoni remota bħala lokali qatt ma tipproduċi l-pakkett mgħoddi li tistenna, u t-tunnel jieħu l-ħtija. Issejvja dik il-lista ħdejn l-indirizz tas-sors tal-kontenitur, għax it-tnejn flimkien huma l-paragun kollu.

Jekk il-prefiss tal-kontenitur jonqos, ieqaf u iddeċiedi l-arkitettura qabel ma teditja xi ħaġa oħra. Il-bqija tal-mixja tassumi li qbiltu liema indirizz tas-sors għandu jidher fuq il-wire.

Iċċekkja l-filtrazzjoni u t-traduzzjoni fl-ordni

Il-firewall tal-pont Linux ta’ Docker jista’ jimblokka l-forwarding indipendentement mill-IPsec. Bl-backend iptables, iċċekkja l-passaġġ FORWARD u d-deċiżjonijiet DOCKER-USER, filwaqt li tiftakar li regola miżjuda wara verdett preċedenti tista’ qatt ma taħdem. Il-backend nftables jintegra b’mod differenti, għalhekk toħloqx katina DOCKER-USER sempliċement għax eżempju iptables semmieha; iċċekkja liema backend juża tassew id-daemon tiegħek.

Imbagħad iċċekkja t-traduzzjoni tas-sors. Regola MASQUERADE wiesgħa tista’ ddawwar pakkett li qabel kien jaqbel ma’ selettur IPsec fi wieħed li ma għadux jaqbel, u l-falliment jidher eżattament bħal problema tar-routing. Il- gwida tal-forwarding ta’ strongSwan tiddokumenta l-eżenzjoni NAT meħtieġa qabel traduzzjoni bħal din għal traffiku li diġà jaqbel ma’ politika.

Dik l-eżenzjoni mhijiex mod kif iżżid sors tal-kontenitur mhux kopert mat-tunnel. Tipproteġi biss traffiku li diġà jaqa’ fid-disinn, għalhekk issolvi l-ewwel il-mistoqsijiet tas-selettur u tal-passaġġ lura, imbagħad ġġib NAT u filtrazzjoni jaqblu mat-tweġiba. Jekk issib ruħek twessa’ l-eżenzjoni minflok, is-selettur huwa dak li għandu jinbidel, mhux ir-regola NAT.

Imbagħad iddeċiedi routed jew tradott

Subnet tal-kontenitur routed teħtieġ li ż-żewġ peers jaċċettaw dak is-subnet u passaġġ lura remot lejh, li normalment ifisser bidla fis-selettur fiż-żewġ trufijiet u konverżazzjoni ma’ min jippossjedi n-naħa remota. Disinn tradott apposta għandu minflok jippreżenta indirizz kopert mill-politika fl-istadju tat-tfittxija rilevanti, li normalment ifisser regola dejqa u dokumentata minflok MASQUERADE awtomatika.

L-ebda miż-żewġ arranġamenti ma ssegwi awtomatikament mit-tunnel jaħdem tal-host, u l-għażla bejniethom hija deċiżjoni tad-disinn b’sid. Ikteb liema għażilt, għax inkella l-inġinier li jmiss jerġa’ jiddeduċiha mill-counters tal-firewall.

Innota wkoll il-falliment ibridu: nofs is-sett tar-regoli tradott u nofs le, li jipproduċi suċċess intermittenti li jiddependi mill-port tad-destinazzjoni u mhux minn xi ħaġa fin-netwerk.

Ivverifika b’konnessjoni ġdida, mhux b’restart

Uża konnessjoni ġdida tal-applikazzjoni waqt li tħares lejn counters dejqin tal-firewall u r-riċevitur remot, sabiex kull osservazzjoni jkollha sors. Restart ta’ Docker jista’ jbiddel l-istat tar-regoli u wkoll ifixkel il-workloads, li jiswiek is-sinjal nadif li kont qed tipprova tikseb.

Ir-riżultat dejjiemi huma erba’ stqarrijiet li tista’ turi: is-sors tal-kontenitur, il-passaġġ protett li jaqbel, il-forwarding permess, u tweġiba li terġa’ lura. Meta l-erbgħa kollha jżommu, il-kontenitur jilħaq il-peer għall-istess raġuni bħall-host.