Pse mapimi i porteve VPN në Docker nuk arrin kurrë te OpenVPN

Kontejneri juaj mund të dëgjojë në UDP 1195 ndërsa hosti publikon 1194, dhe kjo është e saktë për sa kohë mapimi e thotë këtë. Numrat formojnë një tabelë përkthimi: klienti thirr portën e hostit, Docker rishkruan destinacionin në portën e kontejnerit, dhe OpenVPN përgjigjet në portën që emërton konfigurimi i vet. Një mospërputhje në cilindo nga këto hallka prodhon një dështim të heshtur që duket si firewall. Certifikatat dhe shifrat janë më poshtë dhe nuk mund ta rregullojnë.

Ndiqni një paketë nga klienti te procesi përpara se të ndryshoni çdo gjë te vërtetimi.

Tre numra, një lidhje

Tre numrat janë destinacioni i largët që përdor klienti, mapimi i publikuar në host dhe dëgjuesi brenda kontejnerit. Nuk duhet të jenë të barabartë, por duhet të formojnë zinxhir. Numrat e barabartë janë një rast i veçantë që ndodh të jetë më i zakonshmi, prandaj një mospërputhje është e lehtë të shkruhet një herë dhe e vështirë të shihet më vonë.

Shkruani zinxhirin në një rresht para korrigjimit: adresa dhe porta e klientit, mapimi i hostit, dëgjuesi i kontejnerit, transporti. Një defekt në zinxhir shfaqet si një numër që paraqitet dy herë me vlera të ndryshme.

Çfarë thotë në të vërtetë sintaksa e shkurtër

Në formën e shkurtër ana e majtë është porta e hostit dhe ana e djathtë porta e kontejnerit, dhe një prapashtesë me vijë të pjerrët zgjedh transportin. Nëse e hiqni prapashtesën, Docker e trajton mapimin si TCP, kështu që një dëgjues UDP pas një mapimi pa protokoll është një dëgjues ku askush nuk arrin. Ai parazgjedhje është i dokumentuar dhe ende i befason ata që i përputhën numrat dhe e quajtën të kryer.

Forma e gjatë cakton në mënyrë të qartë adresën e lidhjes dhe protokollin, gjë që ia vlen rreshtat shtesë për çdo gjë që përballet me një rrjet. Lexoni mbrapsht mapimin e publikuar në vend që t'i besoni skedarit që e prodhoi.

ports:
  - 1194:1195/udp

Ku mund të ndalet paketa

Një kërkesë mund të hidhet para Docker, brenda Docker ose te dëgjuesi. Përpara Docker mund të ketë një firewall cloud ose një router që bën vetë përcjelljen, dhe ai pajisje ka nevojë për portën përballë hostit dhe transportin e duhur. Brenda Docker, një mapim drejt portës së gabuar të kontejnerit përcjell te një socket i mbyllur.

Pastaj dëgjuesi: konfigurimi i OpenVPN emërton një portë dhe një protokoll, dhe një klient që arrin në një tjetër brenda kontejnerit nuk arrin asgjë. Testimi i një shërbimi UDP me TCP nuk provon asgjë në asnjë nga këto faza, prandaj përdorni transportin që do të përdorë klienti.

Adresat e lidhjes vendosin arritshmërinë

Një mapim i publikuar i lidhur me loopback është i arritshëm vetëm nga hosti, ndërsa ai i lidhur me të gjitha ndërfaqet është i arritshëm kudo që firewall lejon. Të dy duken identikë në një skedar Compose që e heq adresën, dhe parazgjedhja e Docker është ajo e gjera.

Vendosni çfarë ekspozimi synon vendosja, pastaj shkruajeni në mënyrë të qartë. Një test i brendshëm që lidhet përmes loopback dhe një klient i largët që nuk mund të lidhet mund të jenë të dy përshkrime të sakta të të njëjtit kontejner.

Lexoni gjendjen që po ekzekutohet

Inspektoni mapimin efektiv të kontejnerit që po ekzekutohet dhe dëgjuesin në hapësirën e emrave të rrjetit të tij. Një skedar Compose mund të jetë redaktuar pasi kontejneri filloi, metadata e imazhit mund të deklarojë një portë pa e publikuar, dhe një kontejner i dytë mund të mbajë tashmë portën e hostit. Deklarimi i një porte në një imazh nuk është publikimi i saj, dhe asnjëra prej tyre nuk është e njëjtë me dëgjimin.

Tre gjendje të ndryshme, tre komanda të ndryshme, dhe vetëm e fundit përfshin OpenVPN.

Pasi mapimi të jetë i saktë

Sapo paketa arrin te OpenVPN, regjistri i tij është vendi ku lexohet për TLS dhe vërtetim. Rigjenerimi i certifikatave për të rregulluar një paketë që nuk mbërriti kurrë është punë e humbur që shton një variabël të dytë. Mbani shënimin e mapimit pranë profilit të klientit, që personi tjetër të lexojë një rresht në vend që të rizbulojë të tre numrat. Një kapje pakete në anën e hostit vendos cila nga tre hallkat është e gabuar, dhe kushton më pak se një rigjenerim certifikate.

Rasti i përshkruar këtu është publikimi përmes urës. Rrjeti i hostit dhe adresat e rrugëtuara të kontejnerit e anashkalojnë përkthimin, prandaj të njëjtat numra nënkuptojnë diçka tjetër në ato modele.