Mwenyeji anamfikia mwenzake wa IPsec, kontena la Docker halifiki

Unapinga mwenyeji wa mbali kutoka mashine ya Linux na anajibu, kwa hiyo handaki linafanya kazi. Kontena lililo kando yako bado linapita muda, na hatua inayofuata ya kawaida ni kuwasha upya Docker. Kontena kwenye mtandao wa daraja kwa kawaida huanza na anwani nyingine ya chanzo na huingia kwa mwenyeji kwa upelekaji badala ya njia ya kutoka ya programu yenyewe, kwa hiyo jaribio lililofanikiwa lilipima pakiti nyingine. Kwa handaki la strongSwan linalotegemea sera, njia ya kawaida kuelekea subnet ya mbali haitoshi wakati pakiti inayopitishwa hailingani na sera ya IPsec iliyowekwa.

Mwongozo ulio chini unafuata lengo moja kupitia vyanzo viwili, ukisoma hali kabla ya kubadilisha kitu.

Anza na lengo moja na vyanzo viwili

Kwanza chagua huduma inayojulikana kwa IP, ili usirekebishe DNS kwa wakati mmoja. Andika mambo matatu: kiambishi cha daraja cha kontena, anwani ya chanzo ya ombi la mwenyeji lililofanikiwa, na vichaguzi vya trafiki vya ndani na vya mbali vilivyojadiliwa kwa handaki. Namba hizo tatu zinaeleza karibu kila kisa cha dalili hii.

Kisha rudia ombi lililoshindwa kutoka ndani ya kontena na ukamata chanzo kinachotumika kweli. Ikiwa anwani hiyo haijafunikwa na kichaguzi cha ndani, tayari unajua matokeo, na hakuna uundaji upya wa kontena utakaoibadilisha.

Soma sera kabla ya kugusa Docker

Ukaguzi wa mwenyeji wa kusoma tu unahusisha maamuzi ya uelekezaji, hifadhidata ya sera na kanuni zinazochagua kati yao:

ip rule show
ip route show table all
ip xfrm policy

Orodha ya sera inaonyesha vichaguzi na mwelekeo bila kuhitaji utoaji wa hali ya IPsec uliojaa nyenzo za ufunguo, kwa hiyo ni salama kuibandika kwenye tiketi. Tafuta kichaguzi cha ndani kinachofunika anwani ya mwenyeji lakini si kiambishi cha daraja. Angalia pia mwingiliano: njia ya kontena inayochukulia lengo la mbali kama la ndani haitazalisha kamwe pakiti inayopitishwa unayotarajia, na handaki linaaumiwa. Hifadhi orodha hiyo kando ya anwani ya chanzo ya kontena, kwa sababu hizo mbili pamoja ni ulinganisho wote.

Ikiwa kiambishi cha kontena hakipo, simama na uamue usanifu kabla ya kuhariri kitu kingine. Sehemu iliyobaki ya mwongozo inadhani mmekubaliana ni anwani gani ya chanzo inapaswa kuonekana kwenye mtandao.

Angalia uchujaji na tafsiri kwa mpangilio

Firewall ya daraja ya Linux ya Docker inaweza kuzuia upelekaji bila kujali IPsec. Ukiwa na backend ya iptables, chunguza njia ya FORWARD na maamuzi ya DOCKER-USER, ukikumbuka kwamba kanuni iliyoongezwa baada ya hukumu ya awali inaweza kutotekelezwa kabisa. Backend ya nftables inaunganishwa kwa namna nyingine, kwa hiyo usiunde mnyororo wa DOCKER-USER kwa sababu tu mfano wa iptables uliuita hivyo; angalia backend ambayo daemon yako inatumia kweli.

Kisha angalia tafsiri ya chanzo. Kanuni pana ya MASQUERADE inaweza kugeuza pakiti iliyolingana na kichaguzi cha IPsec hapo awali kuwa isiyolingana tena, na hitilafu inaonekana kama tatizo la uelekezaji hasa. mwongozo wa upelekaji wa strongSwan unaandika msamaha wa NAT unaohitajika kabla ya tafsiri hiyo kwa trafiki inayolingana na sera tayari.

Msamaha huo si njia ya kuongeza chanzo cha kontena kisichofunikwa kwenye handaki. Unalinda trafiki inayolingana na muundo tayari, kwa hiyo tatua kwanza maswali ya kichaguzi na njia ya kurudi, kisha ufanye NAT na uchujaji vikubaliane na jibu. Ikiwa unaanza kupanua msamaha badala yake, kichaguzi ni kitu cha kubadilisha, si kanuni ya NAT.

Kisha amua kuelekezwa au kutafsiriwa

Subnet ya kontena iliyoelekezwa inahitaji pande zote mbili kukubali subnet hiyo na njia ya kurudi ya mbali kuelekea humo, ambayo kwa kawaida inamaanisha mabadiliko ya kichaguzi kwa pande zote na mazungumzo na mmiliki wa upande wa mbali. Muundo uliotafsiriwa kwa makusudi badala yake lazima uwasilishe anwani iliyofunikwa na sera katika hatua husika ya utafutaji, ambayo kwa kawaida inamaanisha kanuni nyembamba iliyoandikwa badala ya MASQUERADE ya kawaida.

Hakuna hata moja ya mipangilio hiyo miwili inayofuata kiotomatiki kutoka handaki linalofanya kazi la mwenyeji, na kuchagua kati yao ni uamuzi wa muundo wenye mmiliki. Andika uliyochagua, kwa sababu asiye insinjinia ataihesabu tena kutoka vihesabu vya firewall.

Angalia pia hitilafu mseto: nusu ya seti ya kanuni imetafsiriwa na nusu hapana, ambayo huzalisha mafanikio ya vipindi yanayotegemea bandari ya lengo na si kitu chochote kwenye mtandao.

Thibitisha kwa muunganisho mpya, si kwa kuwasha upya

Tumia muunganisho mpya wa programu huku ukifuatilia vihesabu nyembamba vya firewall na mpokeaji wa mbali, ili kila uchunguzi uwe na chanzo. Kuwasha upya Docker kunaweza kubadilisha hali ya kanuni na pia kutavuruga mizigo ya kazi, jambo ambalo linakugharimu ishara safi uliyokuwa ukijaribu kupata.

Matokeo ya kudumu ni kauli nne unazoweza kuonyesha: chanzo cha kontena, njia iliyolindwa inayolingana, upelekaji ulioruhusiwa, na jibu linalorudi. Zote nne zinaposhikilia, kontena linamfikia mwenzake kwa sababu ile ile ya mwenyeji.