Kontenituri Windows u VPN: għaliex tinqasam in-netwerking lokali
Kontenitur Windows juża t-tabella tar-rotot tal-host, għalhekk VPN li jimblokka s-subnet lokali jieħu miegħu l-prefiss tal-kontenitur. Il-modalità Linux tieħu triq oħra.
Fuq laptop wieħed, b'klijent VPN wieħed konness, il-kontenituri Linux ikomplu jitkellmu ma' xulxin u l-kontenituri Windows jieqfu. Il-varjabbli mhix l-immaġni; it-triq li jieħdu l-pakketti lejn il-host hija. Il-kontenituri Windows fuq in-netwerk awtomatiku jissellfu t-tabella tar-rotot u t-traduzzjoni tal-host, għalhekk politika li tbiddel ir-rotot tal-host tbiddel lilhom ukoll. Ikkonferma dan b'tfittixa ta' rotta qabel ma tinstalla mill-ġdid xejn.
Fejn il-pakketti ta' kontenitur Windows jidħlu fil-host
Kontenitur fuq in-netwerk awtomatiku nat jikseb indirizz minn prefiss tas-servizz Host Networking Service, normalment x'imkien ġewwa 172.16.0.0/12, u jasal għall-host permezz ta' adapter virtwali. Il-host jippossjedi r-rotta għal dak il-prefiss u jittraduċi t-traffiku lejn l-adapter li jkun attiv bħalissa. M'hemmx magna virtwali separata f'nofs dik it-triq.
Dan id-disinn huwa dak li jagħmel il-ħsara mekkanika. Meta l-kontenitur jibgħat pakkett, il-host iwettaq tfittixa ta' rotta għall-prefiss tal-kontenitur. Liema rotta tirbaħ, hemmhekk tmur il-pakkett, u l-kontenitur m'għandu l-ebda fehma dwar dan.
X'ibiddel il-klijent VPN f'dik it-triq
Klijent korporattiv spiss jinstalla sett wiesa' ta' rotot u filtru li jirrifjuta l-aċċess għas-subnet lokali waqt li t-tunnel ikun attiv. Il-ħsieb huwa difensiv: netwerk lokali kompromess m'għandux jasal għal magna protetta. L-effett sekondarju huwa li r-rotta tal-host lejn il-prefiss tal-kontenitur m'għadhiex in-netwerk NAT lokali.
Minflok, it-tfittixa taqbel mat-tunnel u l-pakkett jingħata lill-gateway, li qatt ma sema' b'dak l-indirizz tal-kontenitur. Il-Ping ifalli, l-applikazzjoni tispiċċa fi timeout, u l-kontenitur jidher miksur waqt li l-ikona tal-VPN tiddi. Ħares lejn it-tabella tal-host waqt li tkun konness u r-rotta kompetituri tidher.
| Container mode | Outbound path | Typical result behind the VPN |
|---|---|---|
| Windows, default nat | Host routes and translates container traffic | Container prefix follows the tunnel and fails |
| Windows, transparent | Container sits on the physical link | Depends on the local subnet being allowed |
| Linux engine on Docker Desktop | VM egress proxied by a host process | Often keeps working |
Għaliex il-kontenituri Linux iġibu ruħhom b'mod differenti
Il-magna Linux tmexxi l-kontenituri ġewwa magna virtwali ħafifa, u l-konnessjonijiet ħerġin minn dik il-magna jinfetħu minn proxy fuq in-naħa tal-host f'isem il-kontenitur. Il-host jibda s-socket, għalhekk ir-regola tal-VPN dwar il-prefiss tal-kontenitur ma tapplikax għalih bl-istess mod, u x-xogħol ikompli jasal għan-netwerk.
Dan id-differenza tispjega wkoll għaliex ir-riċetti Linux ma jgħaddux. Kontenitur Linux li jeħtieġ it-tunnel tiegħu jingħata apparat TUN flimkien mal-kapaċità NET_ADMIN. Il-kontenituri Windows ma jesponux ebda interface bħala apparat, għalhekk dak il-mudell m'għandux ekwivalenti f'dik in-naħa.
Ipprova r-rotta, imbagħad agħżel disinn
Iġbor provi mill-host, mhux mill-kontenitur, għax il-host iwettaq it-tfittixa:
docker network inspect nat --format "{{range .IPAM.Config}}{{.Subnet}}{{end}}"
route print -4
Get-NetRoute -AddressFamily IPv4 | Where-Object DestinationPrefix -like "172.16.*"Mexxi l-output tar-rotot darba qabel ma jingħaqad il-VPN u darba wara. Jekk fit-tieni output il-prefiss tal-kontenitur jindika l-adapter tat-tunnel, id-dijanjosi hija kompleta u li terġa' tibda l-kontenituri mhux se jgħin.
L-ewwel għażla hija deċiżjoni ta' politika: staqsi lis-sid tan-netwerk jekk l-aċċess għal-LAN lokali jistax jiġi permess għal dan l-apparat. Diversi klijenti korporattivi jesponuh bħala setting, iżda dan idgħajjef fruntiera maħsuba. Itolbu bħala eċċezzjoni dokumentata b'sid u data ta' reviżjoni. Swiċċ għal kull apparat li ħadd ma jerġa' jara huwa l-mod kif politika difensiva tispiċċa fis-skiet.
Fejn il-politika trid tibqa', erħi x-xogħol minflok tiġġieled mar-rotta. Netwerk trasparenti b'subnet u gateway espliċiti jqiegħed il-kontenituri fuq il-link lokali, xogħol Linux imexxi wara l-proxy tal-magna virtwali, u magna virtwali separata bil-klijent tagħha stess iżżomm il-politika tagħha stess. Agħżel waħda b'mod deliberat u ttestsjah minn ġewwa l-kontenitur, għax hemmhekk tinbeda t-talba tal-utent.