Kill switch għal sidecar VPN: ipprojbixxi t-traffiku meta joħroġ

Kontenitur tal-app li jaqsam l-ispazju tal-ismijiet tan-netwerk ta’ kontenitur VPN m’għandux interface tiegħu, għalhekk huwa faċli li wieħed jassumi li ma jistax jibgħat xejn meta t-tunnel ifalli. Din is-suppożizzjoni hija ħażina fil-mod tal-falliment li jgħodd. Jekk il-proċess VPN imut waqt li l-ispazju tal-ismijiet jibqa’ ħaj, l-app iżżomm is-sockets tagħha u l-ispazju tal-ismijiet iżomm ir-rotot tiegħu, u t-traffiku jkompli fit-triq li għadha installata. Kill switch veru huwa politika ta’ filtraġġ espliċita flimkien ma’ testijiet taċ-ċiklu tal-ħajja tar-runtime, mhux dipendenza fil-bidu.

Għaliex it-tqassim tal-ispazju tal-ismijiet mhuwiex kill switch

Li taqsam spazju tal-ismijiet ifisser li l-app tuża l-interfaces, l-indirizzi u t-tabella tar-rotot tal-kontenitur VPN. Dan ineħħi t-triq indipendenti tal-app lejn in-netwerk sakemm l-ispazju tal-ismijiet maqsum jibqa’ intatt, u ma jgħid xejn dwar x’se jagħmel dak l-ispazju tal-ismijiet meta t-tunnel jgħib.

Il-kundizzjonijiet tad-dipendenza ta’ Compose jistgħu jdewm il-bidu ta’ app sakemm dipendenza tkun f’saħħitha. Dan ikopri mument wieħed fiż-żmien u l-ebda falliment aktar tard, għalhekk huwa għodda tal-ordni tal-bidu u mhux firewall tal-ħruġ kontinwu.

X’jiġri tassew meta l-kontenitur joħroġ

Iddistingwi tliet avvenimenti. Il-proċess VPN ġewwa l-kontenitur jista’ jmut waqt li l-kontenitur jibqa’ għaddej. Il-kontenitur jista’ jieqaf jew jitneħħa, u dan jeqred l-ispazju tal-ismijiet. Il-kontenitur jista’ jerġa’ jinħoloq, u dan jibni spazju tal-ismijiet ġdid u regoli ġodda.

Fl-ewwel każ l-ispazju tal-ismijiet jibqa’ jeżisti, ir-rotta awtomatika tista’ għadha tindika lejn l-interface fiżika, u l-app tkompli tibgħat direttament. Fit-tieni każ l-app dipendenti normalment titlef il-konnettività għal kollox, għax l-ispazju tal-ismijiet tagħha sparixxa. Fit-tielet każ l-app tista’ terġa’ tikkonnettja ma’ spazju tal-ismijiet ġdid qabel ma t-tunnel ikun lest. Kull każ jeħtieġ test differenti, u disinn li jkopri biss l-iskonnessjoni ordnata jkopri l-inqas wieħed interessanti.

Ibni politika espliċita tal-ħruġ

Ikteb il-politika ġewwa l-ispazju tal-ismijiet maqsum sabiex tapplika għall-pakketti tal-app. Il-forma hija tluq awtomatiku b’eċċezzjonijiet dojoq: loopback, l-interface tat-tunnel, u l-indirizz u l-port speċifiċi tal-punt tat-tmiem li jeħtieġ it-trasport tat-tunnel.

L-eċċezzjoni tal-punt tat-tmiem trid tkun fis-seħħ qabel ma jogħla t-tunnel, inkella l-klijent VPN ma jistax jilħaq is-server tiegħu. Huwa għalhekk li s-sett ta’ regoli jippermetti t-trasport ta’ barra b’mod espliċitu minflok ma jippermetti l-interface fiżika b’mod ġenerali. Żid ukoll regoli IPv6 jekk l-ispazju tal-ismijiet għandu konnettività IPv6, għax politika li tapplika biss għal IPv4 tħalli l-familja l-oħra miftuħa.

Id-DNS ukoll jagħmel parti mill-politika. Jekk l-app issolvi ismijiet permezz ta’ solver li jintlaħaq biss ġewwa t-tunnel, ir-regola tat-tluq se tkisser is-soluzzjoni meta t-tunnel ikun ’l isfel, u dan huwa l-imġiba korretta għal kill switch. Iddeċiedi b’mod deliberat jekk huwiex dak li trid.

Ittestja ċ-ċiklu tal-ħajja, mhux biss l-iskonnessjoni

Ibgħat talba ġdida bla ħsara waqt li t-tunnel ikun f’saħħtu, imbagħad oqtol il-proċess VPN u ibgħat oħra. Errepeti wara waqfa tal-kontenitur, wara restart u wara li jerġa’ jinħoloq. Talba ġdida hija importanti għax konnessjoni eżistenti tista’ tgħix minn bidla fir-regoli li timblokka oħrajn ġodda.

Tiddependix fuq verifika tas-saħħa jew tfittxija tal-IP tal-ħruġ bħala l-mekkaniżmu tal-imblukkar. Verifika tosserva l-istat u tirrappurtah; politika tikkontrolla t-traffiku. It-tnejn jappartjenu lill-istess implimentazzjoni, u mhumiex sostituti.

Irreġistra r-regoli sabiex it-test jibqa’ wara aġġornament

Ikteb ir-riżultat mistenni għal kull każ ta’ falliment fid-dokumentazzjoni tal-implimentazzjoni, flimkien mar-regoli li jimplimentawh. Dik ir-reġistrazzjoni tippermetti li jiġi eżegwit l-istess test wara aġġornament tal-image jew tal-runtime, meta l-imġiba tal-ispazju tal-ismijiet jew ir-rotot awtomatiċi jistgħu jinbidlu mingħajr ma ħadd jeditja l-fajl compose.

Żomm it-triq ta’ barra meħtieġa tal-punt tat-tmiem VPN separata mill-ħruġ tal-app mingħajr restrizzjonijiet, u żomm id-DNS u l-IPv6 fil-kopertura maħsuba. Jekk il-politika tippermetti l-interface fiżika kollha għall-konvenjenza, il-kill switch tilef. Id-dokumentazzjoni tan-netwerks ta’ Docker tiddeskrivi l-arranġament tal-ispazju tal-ismijiet maqsum li fuqu hija mibnija l-politika, u din hija r-referenza li għandha tiġi vverifikata meta l-imġiba tar-runtime tkun f’dubju.