Tlaħħaq ma’ interface web ġewwa kontenitur VPN: agħżel is-sid tal-port

L-app taqsam l-ispazju tal-ismijiet tal-VPN, għalhekk il-port huwa tal-kontenitur VPN. Orbot il-listener kif suppost, ippubblika fuq is-sid u żomm il-passaġġ dejjaq.

M’hemm xejn ħażin fl-app u m’hemm xejn ħażin fit-tunnel, u xorta l-bord ma jillowdjax. Meta servizz jaħdem b’network_mode: service:vpn, jaqsam l-ispazju tal-ismijiet tan-netwerk tal-kontenitur VPN, li jfisser li l-listener u l-portijiet ippubblikati tiegħu huma ta’ dak l-ispazju tal-ismijiet u mhux tas-servizz. Tliet deċiżjonijiet joħorġu minn dan: fejn l-app torbot, liema kontenitur jippubblika l-port u kemm huwa dejjaq il-passaġġ tal-ġestjoni. Qegħedhom fl-ordni ħażina u kull konfigurazzjoni individwali tidher tajba waqt li t-taħlita ma tistax taħdem.

Min għandu l-ispazju tal-ismijiet tal-port

F’ispazju tal-ismijiet maqsum, iż-żieda ta’ entrata ports: mas-servizz dipendenti ma tagħmel xejn utli, u bosta għażliet tan-netwerk mhumiex appoġġjati għalih bid-disinn. Ippubblika minflok fuq il-kontenitur li għandu l-ispazju tal-ismijiet. Dak il-kontenitur huwa wkoll dak li l-indirizz tiegħu jidher fuq il-host, għalhekk il-mapping jinqara bħala entrata waħda u mhux waħda għal kull servizz.

services:
  vpn:
    image: vpn-client-image
    cap_add: [NET_ADMIN]
    ports:
      - "127.0.0.1:8080:8080"
  app:
    network_mode: "service:vpn"

Innota l-indirizz fuq ix-xellug tal-mapping. It-twaħħil ma’ 127.0.0.1 iżomm il-port ippubblikat fuq il-loopback tal-host, li normalment huwa dak li trid interface tal-ġestjoni. It-twaħħil ma’ 0.0.0.0 jesponih fuq kull interface tal-host, u din hija deċiżjoni tas-sigurtà differenti, mhux komodità.

Ħalli l-app tisma’ fejn l-ispazju tal-ismijiet jistenna

Listener marbut ma’ 127.0.0.1 ġewwa l-ispazju tal-ismijiet huwa aċċessibbli biss minn ġewwa dak l-ispazju. Il-portijiet tal-host ippubblikati jiġu minn barra, għalhekk l-app trid torbot indirizz usa’ biex il-mapping jaħdem. Din hija bidla ta’ linja waħda f’ħafna servers, u dan huwa eżattament il-pass li n-nies jaqbżu wara li jikkupjaw gwida ta’ tissħir miktuba għal tqegħid mingħajr kontenituri.

docker compose exec app ss -lntp
docker port vpn
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080/

Il-lista tal-listeners ġewwa l-app tgħid il-verità dwar l-indirizz tat-twaħħil, u docker port jgħid x’ippubblika tassew is-sid. Jekk l-ewwel juri 127.0.0.1 u t-tieni juri mapping fuq il-host, sibt id-diskrepanza mingħajr ma mess il-konfigurazzjoni tal-VPN.

Agħżel kif il-passaġġ tal-ġestjoni jidħol

Hemm tliet arranġamenti raġonevoli. Ippubblika fuq il-kontenitur VPN u laħħaq miegħu mill-host jew mil-LAN. Qiegħed proxy maqlub quddiem l-ispazju tal-ismijiet u agħti lill-proxy l-unika port espost. Jew żomm il-bord aċċessibbli biss minn ġewwa l-ispazju tal-ismijiet permezz ta’ sessjoni exec jew tunnel SSH, li hija l-iżgħar esposizzjoni u l-inqas komodità.

Liema taqbel jiddependi min għandu bżonn l-interface u minn fejn. Amministratur wieħed fuq l-istess host jinqeda b’twaħħil loopback. Tim li jilħaqha mill-VPN jeħtieġ passaġġ maħsub u sid bl-isem. L-għażla tal-proxy tagħtik TLS u logijiet tal-aċċess, bi spiża ta’ komponent ieħor li jrid jinżamm aġġornat.

Iftaħ il-port tal-ġestjoni mingħajr ma tiftaħ kollox

Il-politika tal-aċċess lokali jew tal-isserrar tal-klijent VPN tista’ twarrab talba tal-ġestjoni dieħla anke waqt li t-tunnel ħiereġ jaħdem perfettament. Ħalli eċċezzjoni waħda dokumentata għas-sors u l-port maħsuba, imbagħad ikkonferma li l-protezzjoni tas-soltu tat-tunnel ma nbidlitx. L-issettjar tal-kill switch biex jillowdja bord ibdel kontroll reali ma’ tab tal-browser.

Ħalli l-awtentikazzjoni tal-app stess mixgħula. Li tkun ġewwa stack imqabbad mal-VPN ma jawtorizzax kull utent lokali u lanqas kull apparat li jista’ jilħaq il-host, u panel amministrattiv mingħajr awtentikazzjoni wara tunnel xorta jibqa’ panel amministrattiv mingħajr awtentikazzjoni.

Ivverifika mill-apparat tal-ġestjoni, imbagħad erġa’ ivverifika aktar tard

Ittestja mill-magna li tassew se tġestixxi s-servizz, mhux mill-host, imbagħad ivverifika separatament il-passaġġ tal-internet li teħtieġ l-app. Suċċess fil-ġestjoni jipprova direzzjoni waħda u ma jgħid xejn dwar il-ħruġ.

Erġa’ ittestja wara li l-istack jinħoloq mill-ġdid. Sid tan-netwerk mibdul ibiddel l-ispazju tal-ismijiet li miegħu jingħaqad l-app, u URL li kien jaħdem qabel aġġornament jista’ wara ma jindikax imkien. Innota l-mapping ippubblikat u l-indirizz tat-twaħħil biex il-bini mill-ġdid li jmiss ikun verifika ta’ żewġ minuti minflok investigazzjoni ripetuta.

Artikli relatati