ਹੋਸਟ IPsec ਸਾਥੀ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, Docker ਕੰਟੇਨਰ ਨਹੀਂ

ਤੁਸੀਂ Linux ਮਸ਼ੀਨ ਤੋਂ ਦੂਰਲੇ ਹੋਸਟ ਨੂੰ ping ਕਰਦੇ ਹੋ ਅਤੇ ਉਹ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਭਾਵ ਟਨਲ ਕੰਮ ਕਰ ਰਹੀ ਹੈ। ਤੁਹਾਡੇ ਕੋਲ ਵਾਲਾ ਕੰਟੇਨਰ ਅਜੇ ਵੀ ਸਮਾਂ ਸੀਮਾ 'ਤੇ ਅਟਕਦਾ ਹੈ, ਅਤੇ ਅਗਲਾ ਕੁਦਰਤੀ ਕਦਮ Docker ਮੁੜ ਚਾਲੂ ਕਰਨਾ ਹੈ। ਬ੍ਰਿਜ ਨੈੱਟਵਰਕ ਦਾ ਕੰਟੇਨਰ ਆਮ ਤੌਰ 'ਤੇ ਦੂਜੇ ਸਰੋਤ ਪਤੇ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਅਤੇ ਹੋਸਟ ਵਿੱਚ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਆਪਣੇ ਨਿਕਾਸ ਮਾਰਗ ਦੀ ਥਾਂ ਫਾਰਵਰਡਿੰਗ ਰਾਹੀਂ ਦਾਖਲ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਸਫਲ ਪਰਖ ਨੇ ਦੂਜਾ ਪੈਕਟ ਮਾਪਿਆ। ਨੀਤੀ-ਆਧਾਰਿਤ strongSwan ਟਨਲ ਲਈ ਦੂਰਲੇ ਸਬਨੈੱਟ ਵੱਲ ਆਮ ਮਾਰਗ ਕਾਫ਼ੀ ਨਹੀਂ ਜਦੋਂ ਫਾਰਵਰਡ ਕੀਤਾ ਪੈਕਟ ਸਥਾਪਿਤ IPsec ਨੀਤੀ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ।

ਹੇਠਾਂ ਦਿੱਤੀ ਰੂਪਰੇਖਾ ਇੱਕ ਮੰਜ਼ਿਲ ਨੂੰ ਦੋ ਸਰੋਤਾਂ ਵਿੱਚੋਂ ਲੰਘਦਿਆਂ ਦੇਖਦੀ ਹੈ ਅਤੇ ਕੁਝ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਹਾਲਤ ਪੜ੍ਹਦੀ ਹੈ।

ਇੱਕ ਮੰਜ਼ਿਲ ਅਤੇ ਦੋ ਸਰੋਤਾਂ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ

ਪਹਿਲਾਂ IP ਅਨੁਸਾਰ ਜਾਣੀ ਜਾਂਦੀ ਸੇਵਾ ਚੁਣੋ, ਤਾਂ ਜੋ ਉਸੇ ਸਮੇਂ DNS ਨਾ ਸੁਲਝਾਉਣਾ ਪਵੇ। ਤਿੰਨ ਤੱਥ ਲਿਖੋ: ਕੰਟੇਨਰ ਦਾ ਬ੍ਰਿਜ ਪ੍ਰੀਫਿਕਸ, ਸਫਲ ਹੋਸਟ ਬੇਨਤੀ ਦਾ ਸਰੋਤ ਪਤਾ, ਅਤੇ ਟਨਲ ਲਈ ਸਹਿਮਤ ਸਥਾਨਕ ਤੇ ਦੂਰਲੇ ਟ੍ਰੈਫਿਕ ਸਿਲੈਕਟਰ। ਇਹ ਤਿੰਨ ਸੰਖਿਆਵਾਂ ਇਸ ਲੱਛਣ ਦੇ ਲਗਭਗ ਹਰ ਕੇਸ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀਆਂ ਹਨ।

ਫਿਰ ਅਸਫਲ ਬੇਨਤੀ ਨੂੰ ਕੰਟੇਨਰ ਦੇ ਅੰਦਰੋਂ ਦੁਹਰਾਓ ਅਤੇ ਉਹ ਸਰੋਤ ਫੜੋ ਜੋ ਇਹ ਅਸਲ ਵਿੱਚ ਵਰਤਦਾ ਹੈ। ਜੇ ਉਹ ਪਤਾ ਸਥਾਨਕ ਸਿਲੈਕਟਰ ਵਿੱਚ ਸ਼ਾਮਲ ਨਹੀਂ, ਤਾਂ ਨਤੀਜਾ ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਜਾਣਦੇ ਹੋ, ਅਤੇ ਕੰਟੇਨਰ ਮੁੜ ਬਣਾਉਣਾ ਇਸ ਨੂੰ ਨਹੀਂ ਬਦਲੇਗਾ।

Docker ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਨੀਤੀਆਂ ਪੜ੍ਹੋ

ਸਿਰਫ਼-ਪੜ੍ਹਨ ਵਾਲੀਆਂ ਹੋਸਟ ਜਾਂਚਾਂ ਰਾਊਟਿੰਗ ਫ਼ੈਸਲੇ, ਨੀਤੀ ਡੇਟਾਬੇਸ ਅਤੇ ਉਨ੍ਹਾਂ ਵਿਚਕਾਰ ਚੋਣ ਕਰਨ ਵਾਲੇ ਨਿਯਮਾਂ ਨੂੰ ਕਵਰ ਕਰਦੀਆਂ ਹਨ:

ip rule show
ip route show table all
ip xfrm policy

ਨੀਤੀ ਸੂਚੀ ਸਿਲੈਕਟਰ ਅਤੇ ਦਿਸ਼ਾ ਦਿਖਾਉਂਦੀ ਹੈ, ਕੁੰਜੀ ਸਮੱਗਰੀ ਨਾਲ ਭਰੇ IPsec ਹਾਲਤ ਡੰਪ ਦੀ ਲੋੜ ਤੋਂ ਬਿਨਾਂ, ਇਸ ਲਈ ਇਸ ਨੂੰ ਟਿਕਟ ਵਿੱਚ ਚਿਪਕਾਉਣਾ ਸੁਰੱਖਿਅਤ ਹੈ। ਅਜਿਹਾ ਸਥਾਨਕ ਸਿਲੈਕਟਰ ਲੱਭੋ ਜੋ ਹੋਸਟ ਪਤਾ ਕਵਰ ਕਰੇ ਪਰ ਬ੍ਰਿਜ ਪ੍ਰੀਫਿਕਸ ਨਾ। ਓਵਰਲੈਪ ਵੀ ਵੇਖੋ: ਦੂਰਲੀ ਮੰਜ਼ਿਲ ਨੂੰ ਸਥਾਨਕ ਸਮਝਣ ਵਾਲਾ ਕੰਟੇਨਰ ਮਾਰਗ ਕਦੇ ਵੀ ਉਮੀਦ ਕੀਤਾ ਫਾਰਵਰਡ ਪੈਕਟ ਨਹੀਂ ਬਣਾਏਗਾ, ਅਤੇ ਦੋਸ਼ ਟਨਲ 'ਤੇ ਪੈਂਦਾ ਹੈ। ਉਹ ਸੂਚੀ ਕੰਟੇਨਰ ਦੇ ਸਰੋਤ ਪਤੇ ਦੇ ਕੋਲ ਰੱਖੋ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਮਿਲ ਕੇ ਪੂਰੀ ਤੁਲਨਾ ਹਨ।

ਜੇ ਕੰਟੇਨਰ ਪ੍ਰੀਫਿਕਸ ਨਹੀਂ, ਤਾਂ ਰੁਕੋ ਅਤੇ ਹੋਰ ਕੁਝ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਢਾਂਚਾ ਤੈਅ ਕਰੋ। ਬਾਕੀ ਰੂਪਰੇਖਾ ਮੰਨਦੀ ਹੈ ਕਿ ਤੁਸੀਂ ਤੈਅ ਕਰ ਲਿਆ ਹੈ ਕਿ ਕਿਹੜਾ ਸਰੋਤ ਪਤਾ ਨੈੱਟਵਰਕ 'ਤੇ ਦਿਖਣਾ ਚਾਹੀਦਾ ਹੈ।

ਫਿਲਟਰਿੰਗ ਅਤੇ ਅਨੁਵਾਦ ਕ੍ਰਮ ਵਿੱਚ ਜਾਂਚੋ

Docker ਦਾ Linux ਬ੍ਰਿਜ ਫਾਇਰਵਾਲ ਫਾਰਵਰਡਿੰਗ ਨੂੰ IPsec ਤੋਂ ਸੁਤੰਤਰ ਰੂਪ ਵਿੱਚ ਰੋਕ ਸਕਦਾ ਹੈ। iptables ਬੈਕਐਂਡ ਨਾਲ FORWARD ਮਾਰਗ ਅਤੇ DOCKER-USER ਫ਼ੈਸਲੇ ਵੇਖੋ, ਯਾਦ ਰੱਖੋ ਕਿ ਪਹਿਲੇ ਫ਼ੈਸਲੇ ਤੋਂ ਬਾਅਦ ਜੋੜਿਆ ਨਿਯਮ ਕਦੇ ਨਾ ਚੱਲੇ। nftables ਬੈਕਐਂਡ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਜੁੜਦਾ ਹੈ, ਇਸ ਲਈ ਸਿਰਫ਼ ਇਸ ਲਈ DOCKER-USER ਚੇਨ ਨਾ ਬਣਾਓ ਕਿ ਕਿਸੇ iptables ਉਦਾਹਰਨ ਨੇ ਇਸ ਨੂੰ ਇਹ ਨਾਮ ਦਿੱਤਾ; ਵੇਖੋ ਤੁਹਾਡਾ daemon ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਬੈਕਐਂਡ ਵਰਤਦਾ ਹੈ।

ਫਿਰ ਸਰੋਤ ਅਨੁਵਾਦ ਜਾਂਚੋ। ਵਿਸ਼ਾਲ MASQUERADE ਨਿਯਮ ਉਸ ਪੈਕਟ ਨੂੰ, ਜੋ ਪਹਿਲਾਂ IPsec ਸਿਲੈਕਟਰ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਸੀ, ਅਜਿਹੇ ਪੈਕਟ ਵਿੱਚ ਬਦਲ ਸਕਦਾ ਹੈ ਜੋ ਹੁਣ ਨਹੀਂ ਖਾਂਦਾ, ਅਤੇ ਨਾਕਾਮੀ ਬਿਲਕੁਲ ਰਾਊਟਿੰਗ ਸਮੱਸਿਆ ਵਰਗੀ ਦਿਖਦੀ ਹੈ। strongSwan ਫਾਰਵਰਡਿੰਗ ਗਾਈਡ ਉਸ NAT ਛੋਟ ਦਾ ਦਸਤਾਵੇਜ਼ੀਕਰਨ ਕਰਦੀ ਹੈ ਜੋ ਪਹਿਲਾਂ ਹੀ ਨੀਤੀ ਨਾਲ ਮੇਲ ਖਾਂਦੇ ਟ੍ਰੈਫਿਕ ਲਈ ਅਜਿਹੇ ਅਨੁਵਾਦ ਤੋਂ ਪਹਿਲਾਂ ਲੋੜੀਂਦੀ ਹੈ।

ਉਹ ਛੋਟ ਟਨਲ ਵਿੱਚ ਬਿਨਾਂ ਕਵਰ ਵਾਲਾ ਕੰਟੇਨਰ ਸਰੋਤ ਜੋੜਨ ਦਾ ਤਰੀਕਾ ਨਹੀਂ। ਇਹ ਸਿਰਫ਼ ਉਸ ਟ੍ਰੈਫਿਕ ਦੀ ਰੱਖਿਆ ਕਰਦੀ ਹੈ ਜੋ ਪਹਿਲਾਂ ਹੀ ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਫਿੱਟ ਬੈਠਦਾ ਹੈ, ਇਸ ਲਈ ਪਹਿਲਾਂ ਸਿਲੈਕਟਰ ਅਤੇ ਵਾਪਸੀ ਮਾਰਗ ਦੇ ਸਵਾਲ ਤੈਅ ਕਰੋ, ਫਿਰ NAT ਅਤੇ ਫਿਲਟਰਿੰਗ ਨੂੰ ਜਵਾਬ ਨਾਲ ਮੇਲੋ। ਜੇ ਤੁਸੀਂ ਛੋਟ ਨੂੰ ਹੀ ਚੌੜਾ ਕਰਨ ਲੱਗੋ, ਤਾਂ ਬਦਲਣ ਵਾਲੀ ਚੀਜ਼ ਸਿਲੈਕਟਰ ਹੈ, NAT ਨਿਯਮ ਨਹੀਂ।

ਫਿਰ ਤੈਅ ਕਰੋ ਰਾਊਟਿਡ ਜਾਂ ਅਨੁਵਾਦਿਤ

ਰਾਊਟਿਡ ਕੰਟੇਨਰ ਸਬਨੈੱਟ ਲਈ ਲੋੜੀਂਦਾ ਹੈ ਕਿ ਦੋਵੇਂ ਸਾਥੀ ਉਸ ਸਬਨੈੱਟ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਅਤੇ ਉੱਥੇ ਤੱਕ ਦੂਰਲਾ ਵਾਪਸੀ ਮਾਰਗ ਹੋਵੇ, ਜਿਸ ਦਾ ਆਮ ਅਰਥ ਦੋਵੇਂ ਸਿਰਿਆਂ 'ਤੇ ਸਿਲੈਕਟਰ ਬਦਲਣਾ ਅਤੇ ਦੂਰਲੇ ਪਾਸੇ ਦੇ ਮਾਲਕ ਨਾਲ ਗੱਲ ਕਰਨਾ ਹੈ। ਜਾਣ-ਬੁੱਝ ਕੇ ਅਨੁਵਾਦਿਤ ਡਿਜ਼ਾਈਨ ਨੂੰ ਇਸ ਦੀ ਥਾਂ ਸੰਬੰਧਿਤ ਲੁੱਕਅਪ ਪੜਾਅ 'ਤੇ ਨੀਤੀ ਨਾਲ ਢਕਿਆ ਪਤਾ ਪੇਸ਼ ਕਰਨਾ ਪੈਂਦਾ ਹੈ, ਜਿਸ ਦਾ ਆਮ ਅਰਥ ਡਿਫਾਲਟ MASQUERADE ਦੀ ਥਾਂ ਤੰਗ, ਦਸਤਾਵੇਜ਼ੀ ਨਿਯਮ ਹੈ।

ਇਨ੍ਹਾਂ ਦੋਵਾਂ ਪ੍ਰਬੰਧਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਹੋਸਟ ਦੀ ਕੰਮ ਕਰਦੀ ਟਨਲ ਤੋਂ ਆਪਣੇ ਆਪ ਨਹੀਂ ਨਿਕਲਦੀ, ਅਤੇ ਇਨ੍ਹਾਂ ਵਿਚਕਾਰ ਚੋਣ ਮਾਲਕ ਵਾਲਾ ਡਿਜ਼ਾਈਨ ਫ਼ੈਸਲਾ ਹੈ। ਲਿਖੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਚੁਣਿਆ, ਨਹੀਂ ਤਾਂ ਅਗਲਾ ਇੰਜੀਨੀਅਰ ਇਸ ਨੂੰ ਫਿਰ ਫਾਇਰਵਾਲ ਕਾਊਂਟਰਾਂ ਤੋਂ ਕੱਢੇਗਾ।

ਮਿਸ਼ਰਤ ਨਾਕਾਮੀ 'ਤੇ ਵੀ ਧਿਆਨ ਦਿਓ: ਨਿਯਮ-ਸਮੂਹ ਦਾ ਅੱਧਾ ਅਨੁਵਾਦਿਤ ਅਤੇ ਅੱਧਾ ਨਹੀਂ, ਜੋ ਰੁਕ-ਰੁਕ ਕੇ ਸਫਲਤਾ ਦਿੰਦਾ ਹੈ ਜੋ ਮੰਜ਼ਿਲ ਪੋਰਟ 'ਤੇ ਨਿਰਭਰ ਹੈ, ਨੈੱਟਵਰਕ ਦੀ ਕਿਸੇ ਚੀਜ਼ 'ਤੇ ਨਹੀਂ।

ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਨਾਲ ਪੁਸ਼ਟੀ ਕਰੋ, ਮੁੜ ਚਾਲੂ ਨਾਲ ਨਹੀਂ

ਨਵੇਂ ਐਪਲੀਕੇਸ਼ਨ ਕਨੈਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰੋ ਅਤੇ ਨਾਲ ਹੀ ਤੰਗ ਫਾਇਰਵਾਲ ਕਾਊਂਟਰ ਤੇ ਦੂਰਲਾ ਪ੍ਰਾਪਤਕਰਤਾ ਵੇਖੋ, ਤਾਂ ਜੋ ਹਰ ਨਿਰੀਖਣ ਦਾ ਸਰੋਤ ਹੋਵੇ। Docker ਮੁੜ ਚਾਲੂ ਕਰਨਾ ਨਿਯਮਾਂ ਦੀ ਹਾਲਤ ਬਦਲ ਸਕਦਾ ਹੈ ਅਤੇ ਕੰਮ ਦਾ ਭਾਰ ਵੀ ਵਿਗਾੜੇਗਾ, ਜੋ ਤੁਹਾਡੇ ਤੋਂ ਉਹ ਸਾਫ਼ ਸੰਕੇਤ ਖੋਹ ਲੈਂਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਲੈਣਾ ਚਾਹੁੰਦੇ ਸੀ।

ਟਿਕਾਊ ਨਤੀਜਾ ਚਾਰ ਬਿਆਨ ਹਨ ਜੋ ਤੁਸੀਂ ਦਿਖਾ ਸਕਦੇ ਹੋ: ਕੰਟੇਨਰ ਦਾ ਸਰੋਤ, ਮੇਲ ਖਾਂਦਾ ਸੁਰੱਖਿਅਤ ਮਾਰਗ, ਮਨਜ਼ੂਰ ਫਾਰਵਰਡਿੰਗ, ਅਤੇ ਵਾਪਸ ਆਉਂਦਾ ਜਵਾਬ। ਜਦੋਂ ਚਾਰੇ ਲਾਗੂ ਹੋਣ, ਕੰਟੇਨਰ ਉਸੇ ਕਾਰਨ ਸਾਥੀ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਜਿਸ ਕਾਰਨ ਹੋਸਟ ਪਹੁੰਚਦਾ ਹੈ।