Martiidu waxay gaartaa IPsec peer-ka, konteynarka Docker ma gaarto

Waxaad ping ka samaysaa martiida fog mishiinka Linux oo way jawaabtaa, sidaas darteed tunnel-ku wuu shaqeeyaa. Konteynarka agtaada wali wuu dhacaa waqtiga, tallaabada xigta ee dabiiciga ahna waa dib u bilaabista Docker. Konteynar ku jira shabakad buundo wuxuu badanaa ku bilaabmaa cinwaan ilo kale oo wuxuu martiida u soo galo iyada oo loo marayo gudbin halkii uu ka mari lahaa wadada bixista ee barnaamijka martiida, sidaas darteed imtixaankii guulaystay wuxuu cabbiray baakad kale. Tunnel strongSwan oo ku saleysan siyaasad, waddo caadi ah oo ku socota subnet-ka fog kuma filna marka baakadda la gudbiyay aysan u hoggaansamin siyaasadda IPsec ee rakiban.

Hagaha hoose wuxuu raacayaa hal meel oo laba ilo ah, isagoo akhrinaya xaaladda ka hor inta aan wax la beddelin.

Ka bilow hal meel iyo laba ilo

Marka hore dooro adeeg la yaqaan oo IP ah, si aad isku mar u xallin siyaasadda DNS. Qor saddex xaqiiqo: prefix-ka buundada konteynarka, cinwaanka ilka codsiga martiida ee shaqeeyay, iyo xulayaasha taraafikada gudaha iyo fog ee la wada hadlay tunnel-ka. Saddexda lambar waxay sharxaan ku dhawaad kiis kasta oo calaamadan ah.

Kadib ku celi codsigii fashilmay gudaha konteynarka oo qabo ilka uu dhab ahaan isticmaalayo. Haddii cinwaankaas aanu daboolin xulaha gudaha, waad hore u taqaan natiijada, mana jiro dib u abuurid konteynar oo beddeli karta.

Akhri siyaasadaha ka hor intaadan taaban Docker

Hubinta martiida ee akhris-keliya waxay daboolaan go'aannada marinka, keydka siyaasadaha iyo xeerarka u dhexeeya dooranaya:

ip rule show
ip route show table all
ip xfrm policy

Liiska siyaasadaha wuxuu muujinayaa xulayaasha iyo jihada isagoo aan u baahnayn soo saarid xaalad IPsec oo ka buuxa maaddo fure, sidaas darteed waa badbaado in tikitka lagu dhejiyo. Raadi xule gudaha ah oo daboola cinwaanka martiida laakiin aan daboolin prefix-ka buundada. Sidoo kale hubi is-dulsanaanta: waddo konteynar oo u qaadata meesha fog sida gudaha marnaba soo saari doonto baakadda la gudbiyay ee aad filayso, tunnel-kana waa la eedeeyaa. Kaydi liiskaas agta cinwaanka ilka konteynarka, waayo labadaas oo wada jira waa isbarbardhigga oo dhan.

Haddii prefix-ka konteynarka maqan yahay, istaag oo go'aanso dhismaha ka hor intaadan wax kale tafatirin. inta kale ee hagahan waxay u malaynaysaa inaad isku raacdeen cinwaanka ilka ee shabakadda ka muuqanaya.

Hubi shaandhaynta iyo tarjumaadda si kala horreysa

Darbiga dabka buundada Linux ee Docker wuxuu si madaxbannaan IPsec u xannibi karaa gudbinta. Iyada oo backend iptables ah, baadh waddada FORWARD iyo go'aannada DOCKER-USER, adigoo xusuusanaya in xeer lagu daray go'aan hore kadib uu marnaba socon karin. Backend nftables si kale ayuu isku daraa, sidaas darteed ha abuurin silsilad DOCKER-USER kaliya sababtoo ah tusaale iptables ayaa sidaas u magacabay; hubi backend-ka ay daemon-kaagu dhab ahaan isticmaalo.

Kadib hubi tarjumaadda ilka. Xeer MASQUERADE ballaaran wuxuu u rogi karaa baakad hore ugu habboon xulaha IPsec mid aan hadda ku habboonayn, guuldarraduna waxay u ekaanaysaa sida sax ah dhibaatada marinka. hagaha gudbinta strongSwan wuxuu diiwaangelinayaa ka-reebista NAT ee loo baahan yahay ka hor tarjumaaddaas taraafikada hore ugu habboon siyaasad.

Ka-reebistaas maaha waddo lagu daro tunnel-ka il konteynar aan la daboolin. Waxay kaliya difaacdaa taraafikada hore ugu habboon naqshadda, sidaas darteed marka hore xalli su'aalaha xulaha iyo waddada dib u soo noqoshada, kadibna ka dhig NAT iyo shaandhaynta inay la jaanqaadaan jawaabta. Haddii aad bilowdo inaad ballaariso ka-reebista, xulaha ayaa ah waxa beddelmaya, ma aha xeerka NAT.

Kadib go'aanso marayn ama tarjumaad

Subnet konteynar oo la maro wuxuu u baahan yahay in labada dhinac ay aqbalaan subnet-kaas iyo waddo fog oo dib ugu soo noqota, taasoo badanaa macnaheedu yahay isbeddel xulaha labada daraf iyo wada hadal milkiilaha dhinaca fog. Naqshad si udiyaarsan loo tarjumay waa in ay soo bandhigto cinwaan uu daboolo siyaasaddu marxaladda raadinta ee ku habboon, taasoo badanaa macnaheedu yahay xeer cidhiidhi ah oo diiwaangashan halkii ay noqon lahayd MASQUERADE caadi ah.

Midkoodna labada hab ma raaco si otomaatig ah tunnel-ka shaqeeya ee martiida, doorashada u dhexeeyana waa go'aan naqshadeed oo leh milkiile. Qor midkaad dooratay, haddii kale injineerka xiga wuxuu ka soo saari doonaa tirooyinka darbiga dabka.

Sidoo kale fiiri guuldarrada isku dhafan: badh xeerarka la tarjumay iyo badh aan la tarjumin, taasoo keenta guul goosgoos ah oo ku xiran dekedda loo socdo ee aan ku xirnayn wax shabakadda ku jira.

Ku xaqiiji xiriir cusub, ma aha dib u bilaabid

Isticmaal xiriir barnaamij cusub adigoo daawanaya tirooyin cidhiidhi ah oo darbiga dabka iyo qaataha fog, si indho-indheyn kastaa u yeelato il. Dib u bilaabista Docker waxay beddeli kartaa xaaladda xeerarka waxayna sidoo kale carqaladayn doontaa culeysyada shaqada, taasoo kaa lumisa calaamadda nadiifka ah ee aad rabtay.

Natiijada waarta waa afar odhaah oo aad tusi karto: ilka konteynarka, waddada la ilaaliyay ee u dhiganta, gudbinta la ogolaaday, iyo jawaab soo noqota. Marka afarta oo dhan ay dhacaan, konteynarku wuxuu gaaraa saaxiibka sabab la mid ah tan martiida.