Għaliex il-mapping tal-port VPN ta’ Docker tiegħek qatt ma jasal għand OpenVPN

Il-container tiegħek jista’ jisma’ fuq UDP 1195 waqt li l-host jippubblika 1194, u dan huwa korrett sakemm il-mapping jgħid hekk. In-numri jiffurmaw tabella tat-traduzzjoni: il-klijent iċempel il-port tal-host, Docker jerġa’ jikteb id-destinazzjoni għall-port tal-container, u OpenVPN iwieġeb fuq il-port li jismi l-konfigurazzjoni tiegħu stess. Nuqqas ta’ qbil f’waħda minn dawn il-ħoloq jipproduċi falliment sieket li jidher bħal firewall. Iċ-ċertifikati u ċ-ċifraturi jinsabu aktar ’l isfel u ma jistgħux isewwuh.

Segwi pakkett wieħed mill-klijent sal-proċess qabel ma tbiddel xi ħaġa fl-awtentikazzjoni.

Tliet numri, konnessjoni waħda

It-tliet numri huma d-destinazzjoni remota li juża l-klijent, il-mapping ippubblikat fuq il-host, u s-semmiegħ ġewwa l-container. M’għandhomx għalfejn ikunu ugwali, imma għandhom jiffurmaw katina. In-numri ugwali huma każ speċjali li jkun b’kumbinazzjoni l-aktar komuni, u għalhekk nuqqas ta’ qbil huwa faċli jinkiteb darba u diffiċli jidher wara.

Ikteb il-katina f’linja waħda qabel ma tagħmel id-debugging: indirizz u port tal-klijent, mapping tal-host, semmiegħ tal-container, trasport. Difett fil-katina jidher bħala numru li jidher darbtejn b’valuri differenti.

X’jgħid tassew is-sintassi qasira

Fil-forma qasira n-naħa tax-xellug hija l-port tal-host u n-naħa tal-lemin hija l-port tal-container, u suffiss bil-barra jaghżel it-trasport. Jekk tħalli barra s-suffiss, Docker jittratta l-mapping bħala TCP, għalhekk semmiegħ UDP wara mapping mingħajr protokoll huwa semmiegħ li ħadd ma jista’ jilħqu. Dak il-valur default huwa dokumentat u għadu jissorprendi lil dawk li qabblu n-numri u qiesu l-ħaġa mitmuma.

Il-forma twila tiffissa b’mod espliċitu l-indirizz tal-irbit u l-protokoll, li jiswa l-linji żejda fuq kull ħaġa li tħares lejn netwerk. Aqra lura l-mapping ippubblikat minflok tafda l-fajl li pproduċieh.

ports:
  - 1194:1195/udp

Fejn il-pakkett jista’ jieqaf

Talba tista’ tintrema qabel Docker, f’Docker, jew għand is-semmiegħ. Quddiem Docker jista’ jkun hemm firewall tal-cloud jew router li jagħmel il-forwarding tiegħu stess, u dak l-apparat jeħtieġ il-port li jħares lejn il-host u t-trasport it-tajjeb. Ġewwa Docker, mapping għall-port tal-container ħażin jgħaddi għal socket magħluq.

Imbagħad is-semmiegħ: il-konfigurazzjoni ta’ OpenVPN issemmi port u protokoll, u klijent li jasal fuq ieħor ġewwa l-container ma jasal għal xejn. L-ittestjar ta’ servizz UDP b’TCP ma jipprova xejn f’ebda wieħed minn dawn l-istadji, għalhekk uża t-trasport li se juża l-klijent.

L-indirizzi tal-irbit jiddeċiedu l-aċċessibbiltà

Mapping ippubblikat marbut ma’ loopback huwa aċċessibbli biss mill-host, filwaqt li wieħed marbut mal-interfaces kollha huwa aċċessibbli kull fejn il-firewall jippermetti. It-tnejn jidhru identiċi f’fajl Compose li jħalli barra l-indirizz, u l-default ta’ Docker huwa dak wiesa’.

Iddeċiedi liema espożizzjoni beħsiebha l-varar, imbagħad iktibha b’mod espliċitu. Test intern li jgħaqqad permezz ta’ loopback u klijent remot li ma jistax jgħaqqad jistgħu t-tnejn ikunu deskrizzjonijiet preċiżi tal-istess container.

Aqra l-istat li qed jaħdem

Spezzjona l-mapping effettiv tal-container li qed jaħdem u s-semmiegħ fl-ispazju tal-isem tan-netwerk tiegħu. Fajl Compose jista’ jkun ġie editjat wara li beda l-container, metadata tal-image tista’ tiddikjara port mingħajr ma tippubblikah, u t-tieni container jista’ diġà jkollu l-port tal-host. Li tiddikjara port f’image mhuwiex li tippubblikah, u lanqas waħda minnhom mhija l-istess bħal li tisma’.

Tliet stati differenti, tliet kmandi differenti, u t-tielet waħda biss tinvolvi OpenVPN.

Wara li l-mapping ikun tajjeb

Ladarba l-pakkett jasal għand OpenVPN, il-log tiegħu huwa l-post fejn taqra dwar TLS u awtentikazzjoni. Li terġa’ tiġġenera ċertifikati biex issewwi pakkett li qatt ma wasal hija xogħol mitluf li jżid it-tieni varjabbli. Żomm in-nota tal-mapping ħdejn il-profil tal-klijent sabiex il-persuna li jmiss taqra linja waħda minflok ma terġa’ tiskopri t-tliet numri. Qabda waħda tal-pakketti fuq in-naħa tal-host issolvi liema waħda mit-tliet ħoloq hija ħażina, u tiswa inqas minn ġenerazzjoni mill-ġdid ta’ ċertifikat.

Il-pubblikazzjoni permezz ta’ pont hija l-każ deskritt hawn. In-netwerking tal-host u l-indirizzi tal-container irroutjati jaqbżu t-traduzzjoni, għalhekk l-istess numri jfissru xi ħaġa oħra f’dawk id-disinji.