Docker: med sejo VPN ne ostane noben vnaprej določen nabor naslovov

Napaka je posebna: Docker ne najde sprejemljive samodejne podomrežja za novo mostno omrežje. To ne pomeni, da je stroju zmanjkalo naslovov, niti da je VPN pokvarjen. Diagnozo odločata dve vprašanji: katere kandidatne bloke demon vidi in katere od njih njegov dodeljevalnik v tem okolju izključi. Pojdite skozi njih v tem vrstnem redu, ker drugo vprašanje nima smisla, dokler ni odgovorjeno prvo.

Potrdite, kaj je spodletelo, preden karkoli spremenite

Zaženite spodnje korake na gostitelju, ki poganja demona. Lupina, ki govori z oddaljenim kontekstom, opisuje drug stroj, in že ta napaka lahko stane uro.

Hkrati zapišite različico Engine v zahtevek. Vsaka heuristika v preostanku tega priročnika je vezana na različico, trditev brez različice pa je govorica.

Preštejte dodelitve, ki jih že imate

Naštejte omrežja in nato pregledajte pomembna: docker network ls, nato docker network inspect NETWORK_NAME. Preberite njihove podomrežja IPAM in vsebnike, pripete na vsakega. Več projektov Compose porabi več blokov, kot nakazuje število njihovih vsebnikov, ker vsak projekt teži k ustvarjanju lastnega privzetega omrežja. Ustavljeni vsebnik ne sprosti dodelitve svojega omrežja.

Preverite tudi konfiguracijo nabora, ker ima privzeti nabor osnovno območje in velikost predpone na omrežje. Velike dodelitve na omrežje hitreje izčrpajo razpoložljive bloke, in to je dejstvo o zmogljivosti, ne težava usmerjanja.

Zapišite število. To je osnovna črta, ki vam pove, ali je naslednja sprememba pomagala.

Primerjajte, kako demon vidi poti

VPN lahko vpliva na izbiro kandidatov, vendar konkretna izvedba odloči kako. V Moby 28.2.2 na Linuxu InferReservedNetworks zbira naslove imenskih strežnikov in nekatere on-link poti IPv4 ter ne rezervira preprosto vsake poti iz vsake tabele. Zbrane povezovalne poti izključujejo tudi nedoločen ciljni naslov, zato ena sama pot 0.0.0.0/1 ne rezervira vseh naslovov. Druga široka on-link predpona, na primer 128.0.0.0/1, lahko preseka znana kandidatna območja 172 in 192.

Primerjajte ip -4 route show table all pred povezavo VPN in po njej, na gostitelju demona. Razlika je dokaz, različica pa obseg trditve.

Ne posplošujte heuristike ene izdaje na vse izdaje. Tako odgovor s foruma postane sprememba politike.

Izberite najmanjši popravek, ki deluje

Če potrjeno neuporabljeno omrežje drži blok, ki ga potrebujete, načrtujte njegovo ciljno umaknitev z lastnikom, namesto širokega obrezovanja. Za novo omrežje se izrecno pregledana neuporabljena podomrežja popolnoma izogne odvisnosti od samodejne izbire. Ta podomrežje mora še vedno zaobiti resnične cilje Docker, LAN in zahtevane VPN, ker zasebno ne pomeni varno. Usmerjanje resnične oddaljene predpone bi zamenjalo napako dodelitve za prekinjen dostop.

Sprememba default-address-pools je širša politika o prihodnjih dodelitvah. Izberite nekolizijsko osnovo in ustrezno dodeljeno velikost, združite jo z obstoječimi nastavitvami demona in načrtujte dokumentiran vpliv ponovnega zagona. Obstoječa omrežja se tiho ne preštevilčijo.

Ne onemogočite pošiljanja korporativnih poti, da bi dodelitev uspela. Izrecen načrt naslovov običajno reši lokalno težavo, ne da bi oslabil obvezno politiko.

Sprejmite dodelitev in usmerjanje ločeno

Po spremembi pregledajte podomrežje, ki ga je Docker dejansko ustvaril, in preizkusite odvisnosti aplikacije od VPN in lokalnih virov. Uspešna dodelitev in pravilno usmerjanje med izvajanjem sta dve različni prevzemni preveritvi, in prehod prve ni dokaz za drugo. Če aplikacija ne doseže vira za tunelom, imate težavo z usmerjanjem, ki jo je napaka nabora skrivala. Zabeležite oba rezultata v zahtevek.

Shranite razliko poti in število nabora skupaj z zapisom o spremembi, ker lahko naslednja posodobitev odjemalca VPN spremeni prvo, ne da bi se dotaknila Dockerja.

Priročnik je popoln, ko lahko nekdo drug ponovi ti dve preveritvi in dobi enak odgovor.