Għaliex il-modalità privileġġata hija usa' milli jeħtieġ VPN

Il-kontejner ma riedx jiftaħ it-tunell tiegħu, għalhekk ġie miżjud il-bandiera privileġġata, u issa jaħdem. Dik is-sekwenza stabbiliet biss li kien nieqes mill-inqas permess wieħed, u ma tgħid xejn dwar liema. Il-modalità privileġġata tagħti sett ta' kapaċitajiet u aċċess għat-tagħmir ferm usa' milli jeħtieġ interfaċċa tat-tunell.

X'jinbidel tassew bil-bandiera

Kontejner privileġġat jirċievi kapaċitajiet wesgħin u aċċess għat-tagħmir tal-host, li hija għotja ferm akbar milli teħtieġ it-triq tan-netwerk. Is-sett eżatt huwa dokumentat mill-ambjent tal-eżekuzzjoni u mhux stabbilit mit-tradizzjoni, u id-dokumentazzjoni ta' Docker dwar it-tħaddim tal-kontejners tiddeskrivi l-għażliet tal-privileġġ disponibbli. Qari wieħed huwa biżżejjed biex wieħed jara li t-tunell huwa parti żgħira mit-total.

Żewġ rekwiżiti iżjed dojoq ikopru l-biċċa l-kbira tal-kontejners VPN. Il-konfigurazzjoni ta' interfaċċa teħtieġ il-kapaċità tal-amministrazzjoni tan-netwerk, u l-ftuħ tat-tagħmir tat-tunell jeħtieġ aċċess għal dak in-nodu tat-tagħmir preċiż. Dawn huma għotjiet separati, u anke t-tnejn flimkien huma iżjed dojoq mill-għażla ġenerali. Il-bqija tas-sett privileġġat m'għandha xejn x'taqsam mat-tunell. Hija teżisti għal tagħbijiet tax-xogħol li tassew jeħtieġu aċċess fil-livell tal-host, u kontejner VPN normalment mhuwiex wieħed minnhom.

Qabbel kull żball ma' prerekwiżit wieħed

Il-messaġġ tal-iżball jgħidlek liema prerekwiżit huwa nieqes jekk taqrah qabel ma trażżnu. Messaġġ dwar nodu tat-tagħmir isemmi t-tagħmir, messaġġ dwar operazzjoni mhux permessa isemmi kapaċità, u messaġġ dwar modulu jew sysctl isemmi appoġġ tal-kernel. Kull wieħed minnhom għandu tiswija differenti, u wieħed biss minnhom hija kapaċità.

Fajl ta' konfigurazzjoni nieqes jibqa' nieqes wara li tingħata kull kapaċità, u għalhekk il-modalità privileġġata xi drabi ma tbiddel xejn. Il-kontejner jibda, it-tunell xorta jonqos, u l-iżball veru qatt ma kien dwar il-permessi. L-appoġġ tal-kernel huwa t-tielet każ u l-aktar faċli biex tinqrah ħażin. Modulu li mhuwiex mgħobbi fuq il-host ma jistax jiġi mgħobbi minn ġewwa kontejner mingħajr privileġġ, u li tingħata iżjed kapaċità ġewwa l-kontejner ma tbiddilx l-istat tal-host.

Iċċekkja r-rekwiżit, mhux is-sintomu

Ibda mis-sejħa minima li tiddokumenta l-immaġni, ħaddimha, u żomm it-test eżatt tal-falliment. Imbagħad żid għotja waħda kull darba u innota liema żieda biddlet ir-riżultat.

ls -l /dev/net/tun
docker run --rm --cap-add NET_ADMIN --device /dev/net/tun image:tag
ip -br link show type tun

Kontejner li jara t-tagħmir u għandu l-kapaċità iżda xorta jonqos qed jgħidlek li l-problema hija x'imkien ieħor. Dan huwa riżultat utli, u l-modalità privileġġata kienet taħbih.

Iċċekkja wkoll il-permessi tat-tagħmir fuq il-host, għax nodu tat-tagħmir mogħti kif suppost b'sjieda tal-grupp ħażina jipproduċi l-istess żball bħal għotja nieqsa.

Irreġistra l-iktar għotja dojoq li taħdem

Irreġistra kull tagħmir u kapaċità li teħtieġ l-iskjerament, flimkien mal-iżball li ġġustifikahom. Dik ir-reġistrazzjoni hija dik li tippermetti lill-persuna li jmiss tneħħi xi ħaġa b'mod sikur, u hija dik li se jitlob awditur meta kontejner jiġi rrappurtat bħala privileġġat.

Aqleb ukoll il-kuntest tal-madwar, għax in-netwerking tal-host, il-muntaturi tal-host u l-għażliet tal-ambjent tal-eżekuzzjoni kull wieħed jista' jwessa' l-impatt ta' għotja. Sejħa iżolata ta' laboratorju li tgħaqqadhom kollha mhijiex konfigurazzjoni tal-produzzjoni, kemm tkun ħadmet tajjeb. Ittestja l-applikazzjoni, l-imġiba tagħha fid-DNS u falliment tat-tunell qabel ma tiddikjara l-iskjerament komplut. Il-permess biex toħloq interfaċċa mhuwiex politika tal-ħruġ, u kontejner li jista' jtunella b'mod perfett xorta jibgħat kull ma tibgħat l-applikazzjoni.