Il-konfigurazzjoni tal-VPN tgħix biss wara l-ħolqien mill-ġdid tal-kontenitur jekk tarmontaha
Fajl editjat ġewwa kontenitur li qed jaħdem jgħix f'saff li jisparixxi. Qabbel bind mounts, volumes u secrets, imbagħad erġa' oħloq u vverifika erba' affarijiet.
Teditja l-konfigurazzjoni ta' WireGuard ġewwa kontenitur li qed jaħdem, taħdem, u l-aġġornament tal-image li jmiss iħassarha. Xejn ma kien ikkonfigurat ħażin. Il-fajl kien jgħix fis-saff li jista' jinkiteb tal-kontenitur, li jeżisti biss għal dik l-istanza tal-kontenitur. Il-paragun li jgħodd mhuwiex liema għodda tuża, iżda liema inputs tiddikjara l-varar tiegħek. Kull ma editjajt bl-idejn huwa input li l-varar ma jafx bih.
Żewġ tipi ta' stat, wieħed minnhom jintrema
Kontenitur għandu saff li jista' jinkiteb għall-bidliet magħmula fil-ħin tal-eżekuzzjoni, u dak is-saff jintrema meta l-kontenitur jiġi sostitwit. Mhuwiex maħżen tal-konfigurazzjoni u mhuwiex backup. L-image flimkien mal-inputs iddikjarati huma d-definizzjoni sħiħa ta' dak li jaħdem.
Staqsi liema mill-fajls tal-VPN tiegħek huma inputs iddikjarati u liema huma inċidenti:
docker diff wg-vpn
docker inspect --format '{{json .Mounts}}' wg-vpnId-diff jelenka x'inbidel fis-saff li jista' jinkiteb, u dak huwa eżattament is-sett ta' affarijiet li se jisparixxu. Il-lista tal-mount turi x'jibqa'. Li tqabbel it-tnejn iwieġeb il-mistoqsija qabel ma titlef xi ħaġa.
Bind mount, volume bl-isem jew secret: x'jipproteġi kull wieħed
It-tlieta jistgħu jżommu profil tal-VPN, u huma differenti f'min jista' jaqrah u x'jiġri mas-sostituzzjoni.
| Mechanism | Survives recreation | Who can read it |
|---|---|---|
| Writable layer | No | Anyone with container access, until it is gone |
| Bind mount | Yes, while the host path exists | Whatever the host permissions allow |
| Named volume | Yes, until the volume is removed | Managed by the runtime |
| Secret | Yes, as a declared input | The container process, by design |
Bind mount jimmappa passaġġ tal-host, għalhekk il-fajl huwa protett daqs kemm huwa protett dak il-passaġġ u viżibbli daqs kemm jippermettu l-permessi tal-host. Volume bl-isem jiġi amministrat mir-runtime u jibqa' wara t-tneħħija tal-kontenitur, li jagħmlu l-għażla default aktar sigura għall-istat li jippossjedi l-varar. Mekkaniżmu ta' secret huwa għal materjal li ma tridx fl-image jew f'varjabbli tal-ambjent.
Tittrattax kull varjabbli tal-ambjent u kull fajl tal-host bħala protezzjoni ekwivalenti, għax mhumiex.
L-editjar ġewwa l-kontenitur hija n-nassa
In-nassa mhix l-għodda, iżda d-direzzjoni tal-editjar. Bidla magħmula ġewwa kontenitur li qed jaħdem hija inviżibbli għall-varar, għalhekk il-ħolqien mill-ġdid li jmiss iderriha lura bil-kwiet u s-sintomu jidher bħal rigressjoni fl-image. Jekk trid tagħmel bidla hemm għad-dijanjosi, ikkupjaha minnufih barra u poġġiha fl-input iddikjarat. Imbagħad erġa' oħloq biex tipprova li l-varar jirriproduċiha.
Profil jista' jġorr ċwievet privati u materjal tal-kont, li jagħmel backup ta' dak il-fajl kompitu ta' mmaniġġjar ta' sigrieti minflok kopja ta' fajl. Żomm is-sjieda u l-aċċess tal-qari limitati għall-proċess reali tal-kontenitur, minflok ma twessa' direttorju tal-host biex jisparixxi żball tal-permessi.
Dik it-twessigħ hija kif kumdità fil-kontenitur issir espożizzjoni tal-host.
Erġa' oħloq bl-addoċċ, imbagħad ivverifika erba' affarijiet
Irreġistra l-verżjoni tal-image, il-mezz u l-kapaċitajiet meħtieġa, il-konnessjoni tan-netwerk u l-inputs permanenti. Il-lista tal-mezz u l-kapaċitajiet hija importanti b'mod speċjali għal kontenitur tal-VPN, għax il-mina teħtieġ il-mezz tan-netwerk u l-privileġġ biex tikkonfigurah.
Ikkonferma liema stat tal-eżekuzzjoni ġġenerat għandu jerġa' jinbena minflok ma jiġi salvat. Iċ-ċwievet li l-mina ġġenerat fl-ewwel tluq huma stat, u jekk iżżommhomx jew terġa' tiġġenerahomx hija deċiżjoni b'konsegwenzi għal kull peer li jaf iċ-ċavetta pubblika l-qadima.
Wara ħolqien mill-ġdid ikkontrollat, ivverifika l-identità, l-irrotar, id-DNS u l-blokk tal-falliment meħtieġ. Proċess li jibda mingħajr żbalji ma jipprovax waħda minn dawn l-erbgħa. Iċċekkjah waqt li l-mina tkun attiva u għal darb'oħra wara li twaqqafha, għax il-blokk tal-falliment juri ruħu biss meta l-mina tisparixxi.
Żomm kopja tal-irkupru barra mill-kontenitur
Żomm kopja tal-irkupru li tgħix indipendentement mill-kontenitur, u ttestja l-irkupru tagħha permezz tal-proċess dokumentat. Backup mhux ittestjat ta' profil tal-VPN huwa tama, speċjalment meta t-triq tal-irkupru tinvolvi permessi li l-proċess tal-kontenitur jeħtieġ.
Jekk kontenitur li jippossjedi VPN jiġi sostitwit, ikkordina l-applikazzjonijiet li jaqsmu l-istekk tan-netwerk tiegħu fiċ-ċiklu tal-ħajja appoġġat mir-runtime.
Dik il-koordinazzjoni hija d-differenza bejn restard u waqfa. Il-varar għandu jiddeskrivi minn fejn ġejja l-konfigurazzjoni, u d-dokumentazzjoni tal-volumes hija l-post fejn tivverifika x'inhuma tassew ippreservati mir-runtime.