Docker: počas relácie VPN nezostali žiadne preddefinované fondy adries

Zlyhanie je konkrétne: Docker nenájde prijateľnú automatickú podsietu pre novú mostovú sieť. Neznamená to, že stroju došli adresy, ani že je VPN pokazená. Diagnózu rozhodujú dve otázky: ktoré kandidátske bloky démon vidí a ktoré z nich jeho alokátor v tomto prostredí vylučuje. Prejdite ich v tomto poradí, pretože druhá otázka nemá zmysel, kým nie je zodpovedaná prvá.

Potvrďte, čo zlyhalo, skôr než čokoľvek zmeníte

Spustite nižšie uvedené kroky na hostiteľovi, ktorý spúšťa démona. Shell komunikujúci so vzdialeným kontextom opisuje iný stroj a samotná táto chyba môže stáť hodinu.

Zaznamenajte súčasne do tiketu aj verziu Engine. Každá heuristika vo zvyšku tejto príručky je viazaná na verziu a tvrdenie bez verzie je fáma.

Spočítajte pridelenia, ktoré už máte

Vypíšte siete a potom prehliadnite tie dôležité: docker network ls, nasledované docker network inspect NETWORK_NAME. Prečítajte ich IPAM podsiete a kontajnery pripojené ku každej. Niekoľko projektov Compose spotrebuje viac blokov, než naznačujú počty ich kontajnerov, pretože každý projekt má sklon vytvárať vlastnú predvolenú sieť. Zastavený kontajner neuvoľní pridelenie svojej siete.

Skontrolujte aj konfiguráciu fondu, pretože predvolený fond má základný rozsah a veľkosť prefixu na sieť. Veľké pridelenia na sieť vyčerpávajú dostupné bloky rýchlejšie a to je fakt o kapacite, nie problém smerovania.

Zapíšte počet. Je to základná línia, ktorá vám povie, či ďalšia zmena pomohla.

Porovnajte, ako démon vidí trasy

VPN môže ovplyvniť výber kandidátov, ale konkrétna implementácia rozhoduje ako. V Moby 28.2.2 na Linuxe InferReservedNetworks zhromažďuje adresy menných serverov a určité on-link IPv4 trasy a nerezervuje jednoducho každú trasu z každej tabuľky. Zhromaždené link trasy tiež vylučujú nešpecifikovanú cieľovú adresu, takže jediná trasa 0.0.0.0/1 nerezervuje všetky adresy. Iný široký on-link prefix, napríklad 128.0.0.0/1, môže pretnúť známe kandidátske rozsahy 172 a 192.

Porovnajte ip -4 route show table all pred pripojením VPN a po ňom, na hostiteľovi démona. Rozdiel je dôkaz a verzia je rozsah tvrdenia.

Nezovšeobecňujte heuristiku jedného vydania na všetky vydania. Tak sa z odpovede na fóre stane zmena politiky.

Vyberte najmenšiu opravu, ktorá funguje

Ak potvrdená nepoužívaná sieť drží blok, ktorý potrebujete, naplánujte jej cielené vyradenie s vlastníkom namiesto plošného prerezávania. Pre novú sieť sa výslovne skontrolovaná nepoužívaná podsiet čisto vyhne závislosti od automatického výberu. Tá podsiet sa však stále musí vyhýbať skutočným cieľom Docker, LAN a požadovaným VPN, pretože privátne neznamená bezpečné. Smerovanie skutočného vzdialeného prefixu by vymenilo chybu pridelenia za nefunkčný prístup.

Zmena default-address-pools je širšia politika budúcich pridelení. Zvoľte nekolidujúci základ a vhodnú pridelenú veľkosť, zlúčte ju s existujúcim nastavením démona a naplánujte dokumentovaný vplyv reštartu. Existujúce siete sa ticho neprečíslujú.

Nevypínajte posielanie firemných trás, aby pridelenie uspelo. Explicitný plán adries zvyčajne vyrieši miestny problém bez oslabenia povinnej politiky.

Prijmite pridelenie a smerovanie oddelene

Po zmene prehliadnite podsiet, ktorú Docker skutočne vytvoril, a otestujte závislosti aplikácie na VPN a miestne zdroje. Úspešné pridelenie a správne smerovanie za behu sú dve rôzne prevzaté kontroly a absolvovanie prvej nie je dôkazom druhej. Ak sa aplikácia nedostane k zdroju za tunelom, máte problém so smerovaním, ktorý chyba fondu skrývala. Zaznamenajte oba výsledky do tiketu.

Uchovajte rozdiel trás a počet fondu spolu so záznamom o zmene, pretože nasledujúca aktualizácia klienta VPN môže zmeniť prvý bez zásahu do Dockeru.

Príručka je úplná, keď niekto iný dokáže zopakovať tieto dve kontroly a dostať rovnakú odpoveď.