کوربه د IPsec ملګري ته رسېږي، Docker کانټینر نه

تاسو له Linux ماشین څخه لرې کوربه ته ping لېږئ او ځواب درکوي، نو تونل کار کوي. ستاسو تر څنګ کانټینر لا هم وخت تېرېږي، او بل طبیعي ګام Docker بیا پیلول دي. د پل شبکې کانټینر معمولاً د بلې سرچینې پتې سره پیلېږي او کوربه ته د اپلیکیشن د خپل وتلو لارې پرځای د لېږد له لارې ننوځي، نو بریالي ازموینه بله بسته وازه. د پالیسۍ پر بنسټ strongSwan تونل لپاره لرې فرعي شبکې ته عادي لاره بس نه ده کله چې لېږل شوې بسته له نصب شوې IPsec پالیسۍ سره سمون نه لري.

لاندې لارښود یوه منزل د دوو سرچینو له لارې تعقیبوي او مخکې له دې چې څه بدل کړي حالت لولي.

له یوې منزل او دوو سرچینو پیل وکړئ

لومړی د IP له مخې یوه پېژندل شوې خدمت وټاکئ، ترڅو په ورته وخت کې DNS نه سمولئ. درې حقایق ولیکئ: د کانټینر د پل مختاړی، د بریالي کوربه غوښتنې سرچینه پته، او د تونل لپاره هوکړه شوې ځایي او لرې ټرافیک ټاکنکي. دا درې شمېرې د دې نښې نږدې هر حالت تشریح کوي.

بیا ناکامه غوښتنه د کانټینر له داخل څخه تکرار کړئ او هغه سرچینه ونیسئ چې هغه واقعاً کاروي. که دا پته د ځایي ټاکنکي له خوا نه وي پوښل شوې، تاسو پایله مخکې پوهېږئ، او د کانټینر بیا جوړول به یې بدل نه کړي.

مخکې له دې چې Docker ته لاس ووهئ پالیسۍ ولولئ

یوازې لوستلو کوربه ګوتنې د لارښوونې پرېکړې، د پالیسۍ ډیټابیس او هغه قواعد چې د دوی ترمنځ ټاکي رانغاړي:

ip rule show
ip route show table all
ip xfrm policy

د پالیسۍ لیست ټاکنکي او لوری پرته له دې چې د کیلي موادو ډک IPsec حالت ډمپ ته اړتیا وي ښیي، نو په ټکټ کې یې نښلول خوندي دي. یو ځایي ټاکنکی ولټوئ چې د کوربه پته پوښي خو د پل مختاړی نه. تیتوالی هم وګورئ: هغه کانټینر لار چې لرې منزل ځایي ګڼي هېڅکله تمه شوې لېږل شوې بسته نه جوړوي، او تونل پرې تورن کېږي. هغه لیست د کانټینر د سرچینې پتې ترڅنګ وساتئ، ځکه دواړه یوځای ټول پرتله دي.

که د کانټینر مختاړی نه وي، ودرېږئ او مخکې له دې چې بل څه سم کړئ جوړښت فیصله کړئ. د لارښود پاتې برخه فرض کوي چې تاسو هوکړه کړې چې کومه سرچینه پته باید په شبکه کې ښکاره شي.

چاڼ او ژباړه په ترتیب سره وګورئ

د Docker د Linux پل اورمېچن کولای شي لېږد له IPsec پرته بند کړي. د iptables شاته، FORWARD لاره او DOCKER-USER پرېکړې وګورئ، په یاد وساتئ چې د پخواني حکم وروسته اضافه شوې قاعده کېدای شي هېڅکله ونه ځغلي. nftables شاته بل ډول یوځای کېږي، نو یوازې ځکه چې یوې iptables بېلګې داسې نومولې DOCKER-USER زنځیر مه جوړوئ؛ وګورئ ستاسو daemon واقعاً کومه شاته کاروي.

بیا د سرچینې ژباړه وګورئ. پراخه MASQUERADE قاعده کولای شي هغه بسته چې مخکې له IPsec ټاکنکي سره سمه وه په هغه بدله کړي چې نوره سمه نه ده، او نیمګړتیا پرې نږدې د لارښوونې ستونزه ښکاري. د strongSwan د لېږد لارښود هغه NAT استثنا مستندوي چې د دې ډول ژباړې مخکې د پالیسۍ سره سمون لرونکي ټرافیک لپاره اړینه ده.

هغه استثنا د دې لاره نه ده چې تونل ته ناپوښل شوې کانټینر سرچینه ورزیاته کړي. هغه یوازې هغه ټرافیک ساتي چې مخکې له ډیزاین سره ځای پر ځای وي، نو لومړی د ټاکنکي او بېرته راتلو لارې پوښتنې حل کړئ، بیا NAT او چاڼ له ځواب سره سم کړئ. که پرځای یې استثنا پراخوئ، بدلېدونکې شی ټاکنکی دی نه د NAT قاعده.

بیا پرېکړه وکړئ لارښود شوی یا ژباړل شوی

لارښود شوې کانټینر فرعي شبکه غواړي چې دواړه ملګري یې ومني او لرې بېرته راتلو لاره ورته وي، چې معمولاً په دواړو سرونو کې د ټاکنکي بدلون او د لرې خوا له مالک سره خبرې معنا لري. په قصد ژباړل شوی ډیزاین باید پرځای یې په اړوند پلټنې پړاو کې د پالیسۍ پوښل شوې پته وړاندې کړي، چې معمولاً تنګه او مستنده قاعده معنا لري نه تلواله MASQUERADE.

د دواړو ترتیبو هېڅ یو هم د کوربه د کارکوونکي تونل څخه په اتوماتيک ډول نه راوځي، او د دوی ترمنځ ټاکل د مالک لرونکې ډیزاین پرېکړه ده. ولیکئ کوم یې وټاکه، که نه بل انجنیر به یې بیا د اورمېچن شمېرونکو څخه راوباسي.

ګډې نیمګړتیا ته هم پام وکړئ: نیمه قاعده ژباړل شوې او نیمه نه، چې د منزل پورټ پورې تړلې او د شبکې له هيڅ شي سره تړلې نه بریالیتوب رامنځته کوي.

د نوي اړیکې سره تایید کړئ، نه د بیا پیلولو سره

نوې اپلیکیشن اړیکه وکاروئ او په همدې حال کې تنګ اورمېچن شمېرونکي او لرې ترلاسه کوونکی وګورئ، ترڅو هر مشاهده سرچینه ولري. Docker بیا پیلول کولای شي د قواعدو حالت بدل کړي او کاري بارونه هم ګډوډوي، چې هغه پاکه اشاره درڅخه اخلي چې تاسو یې غوښتل.

دوامداره پایله څلور څرګندونې دي چې ښودلای شئ: د کانټینر سرچینه، سمه ساتل شوې لار، اجازه شوې لېږد، او یو ځواب چې بېرته راځي. کله چې څلور واړه وي، کانټینر هماغه دلیل ته ملګري ته رسېږي چې کوربه ورته رسېږي.