PPTP f'Docker jidentifika ruħu iżda ma jġorrx traffiku

Il-klijent jidentifika ruħu, il-PPP jinnegozja indirizz, u mbagħad xejn ma jiċċaqlaq. Ping ifalli, il-browser ifalli, u l-kontenitur jidher konness il-ħin kollu. Dan il-mudell mhix problema tat-tabella tal-routing, għax il-problemi tal-routing normalment ikissru wkoll il-konnessjoni tal-kontroll. Hija t-triq tat-tagħbija, u fil-PPTP it-tagħbija hija protokoll differenti minn dak li għadu kif irnexxielu.

Ħames verifiki, fl-ordni li jiffranka l-aktar ħin.

Verifika 1: ifred il-kanal tal-kontroll mit-tagħbija

PPTP jidentifika ruħu fuq TCP 1723 u mbagħad iġorr it-tagħbija PPP ġewwa GRE, protokoll IP 47. GRE mhuwiex TCP u lanqas UDP, għalhekk kull regola li tgħaddi l-port tal-kontroll ma tgħid xejn dwarha. NAT jew firewall li jgħaddi 1723 jista' jwarrab il-protokoll 47 mingħajr ilment, u s-sessjoni tibqa' nofs mibnija b'mod li jidher bħal suċċess.

Jekk il-login jaħdem u ebda pakkett ma jiġi lura, assumi GRE l-ewwel u mbagħad ippruvah.

Verifika 2: ikkonferma l-assistent fil-qalba tal-host

It-traċċar tal-konnessjonijiet ma jistax jgħaqqad konnessjoni tal-kontroll TCP ma' fluss GRE mingħajr assistent. Il-modulu huwa nf_conntrack_pptp, jgħix fil-qalba tal-host, u t-tagħbija tiegħu fl-immaġni tal-kontenitur ma tikseb xejn għax il-moduli japplikaw għall-host kollu. lsmod | grep nf_conntrack_pptp fuq il-host Docker hija l-verifika. Jekk ma jkunx hemm, modprobe nf_conntrack_pptp jgħabbu għall-qalba li qed taħdem u ma jgħid xejn dwar il-boot li jmiss, allura żidu wkoll fil-konfigurazzjoni tal-host.

Modulu li jisparixxi fir-restart isir l-istess biljett ix-xahar id-dieħel.

Verifika 3: aqra l-politika tal-qalba li titfih

Anki bil-modulu preżenti, il-qlub mill-4.7 jistabbilixxu net.netfilter.nf_conntrack_helper għal 0 b'mod awtomatiku, li jitfi l-assenjazzjoni awtomatika tal-assistent għal kull protokoll. Dik il-predeżinazzjoni hija r-raġuni għalfejn modulu installat b'mod korrett xorta ma jagħmel xejn: il-kodiċi hemm u l-politika tgħid biex ma jintużax. sysctl net.netfilter.nf_conntrack_helper jirrapporta l-valur attwali, u l-istabbiliment tiegħu għal 1 waqt il-ħidma jagħmel l-assistent disponibbli mill-ġdid. Żomm il-valur permezz tal-konfigurazzjoni sysctl tal-host jekk id-disinn jippermetti.

L-assenjazzjoni awtomatika tħalli t-traffiku joħloq aspettattivi b'mod impliċitu, u għalhekk inbidlet il-predeżinazzjoni. Illimitalha għall-host fiduċjarju, jew uża regola espliċita li timmira lejn l-assistent.

Verifika 4: ara t-triq tal-kontenitur b'mod separat

Assistent mgħobbi ma joħloqx rotta. Il-kontenitur jeħtieġ triq lejn is-server PPTP, u l-ħruġ 'il quddiem fuq il-host irid jippermetti GRE fiż-żewġ direzzjonijiet: iptables -L FORWARD -v -n juri jekk il-protokoll 47 huwiex aċċettat u jekk il-kontaturi jiċċaqalqux. Ir-regoli masquerade ta' Docker jittraduxu TCP u UDP, mhux il-protokoll 47, allura kontenitur b'pontista jista' jkollu bżonn aċċettazzjoni forward espliċita u, fuq xi hosts, regola tat-traduzzjoni tiegħu stess. Ikkonferma wkoll li l-kontenitur għandu l-appoġġ tal-apparat PPP li l-immaġni tiegħu jistenna.

Aqra l-kontaturi mhux it-test tar-regola. Regola li teżisti u ma taqbel ma' xejn hija dekorazzjoni.

Verifika 5: ipprova li l-GRE qed jiġi traċċat, imbagħad iddeċiedi dwar il-PPTP

Bil-klijent jaħdem, aqra t-tabella tat-traċċar. Entrata tal-kontroll PPTP stabbilita flimkien ma' entrata GRE relatata tfisser li l-assistent qed jgħaqqad il-flussi u l-ħsara li fadal tinsab x'imkien ieħor. Entrata tal-kontroll mingħajr entrata GRE tfisser li t-tagħbija qed tinwarrab jew mhix traċċata, li jġibek lura għall-verifiki 2 u 3.

Il-PPTP innifsu huwa wirt u MS-CHAPv2 hija dgħajfa. Jekk is-server joffri wkoll L2TP/IPsec, IKEv2 jew WireGuard, il-moviment għal wieħed minnhom ineħħi din il-klassi kollha ta' problemi.

Fejn il-PPTP irid jibqa', it-tħaddim tal-klijent fuq il-host minflok f'kontenitur ineħħi saff ta' NAT u filtrazzjoni, li spiss hija d-deċiżjoni irħisa.