Docker போர்ட் வெளியீடு மற்றும் VPN மூலங்கள்: நீங்கள் தவறவிடும் இரு பொருத்தங்கள்

விதி சொல்கிறது VPN சேவையகத்தின் முகவரியை வெளியிடப்பட்ட சேவைக்கு அனுமதிக்கவும், இருந்தும் இணைப்பு துண்டிக்கப்படுகிறது. இந்த முடிவு சாதாரணமானது, அது Docker இன் பிழை அல்ல. இரு தனித்த பொருத்தங்கள் தவறானவை: நீங்கள் எழுதிய மூலம் ஹோஸ்ட் பெறும் மூலமாக இல்லாமல் இருக்கலாம், நீங்கள் எழுதிய போர்ட் வடிகட்டி காணும் போர்டாக இல்லாமல் இருக்கலாம். இரண்டையும் சரிசெய்ய சேவை வரைபடத்திற்குப் பதிலாக பாக்கெட்டின் பாதையைப் பார்க்க வேண்டும்.

கட்டுக்கதை: VPN சேவையகத்தை அனுமதித்தால் முடிந்தது

வழிமாற்றப்பட்ட VPN கிளையன் டன்னல் முகவரியை Docker ஹோஸ்ட் வரை பாதுகாக்க முடியும். மூல மொழிபெயர்ப்பு செய்யும் நுழைவாயில் அந்த முகவரியை தனது முகவரியால் மாற்ற முடியும். இரு வடிவமைப்புகளும் செல்லுபடியானவை, ஒரே பயனர் செயலுக்கு வெவ்வேறு மூலங்களைத் தருகின்றன.

எனவே VPN சேவையக IP என்ற சொற்றொடர் ஓர் அனுமானத்தை விவரிக்கிறது, கவனிப்பை அல்ல. உங்கள் முன் இரு வடிவமைப்புகளில் எது உள்ளது என்பதை அறியும் வரை விதி ஒரு ஊகம்.

மூலம்: கிளையன் தொகுப்பு அல்லது மொழிபெயர்க்கப்பட்ட நுழைவாயில்

நான்கு விஷயங்களை வரிசையாகச் சரிபார்க்கவும். முதலில், கிளையன் முகவரி தொகுப்பு, எடுத்துக்காட்டாக 10.90.0.0/24. இரண்டாவது, நுழைவாயில் அந்தத் தொகுப்பை ஹோஸ்டை அடைவதற்கு முன் மொழிபெயர்க்கிறதா. மூன்றாவது, ஒரு புதிய இணைப்புக்கு ஹோஸ்ட் உண்மையில் கவனிக்கும் மூலம். நான்காவது, பயன்பாட்டு அங்கீகாரம் தனிநபர் பயனர்களை வேறுபடுத்துகிறதா, ஏனெனில் பகிரப்பட்ட மொழிபெயர்க்கப்பட்ட முகவரி அதைச் செய்ய முடியாது.

தொகுப்பு பாதுகாக்கப்பட்டால், நுழைவாயிலின் பொது முகவரியுடன் மட்டும் பொருந்தும் விதி ஒவ்வொரு கிளையனையும் தவறவிடும். நுழைவாயில் வேண்டுமென்றே மொழிபெயர்த்தால், மொழிபெயர்க்கப்பட்ட முகவரியை அனுமதிப்பது அதன் பின்னால் உள்ள ஒவ்வொரு பயனரையும் உள்ளே விடும், இது சொந்த உள்நுழைவு உள்ள சேவைக்கு ஏற்றதாகவும் மற்ற எதற்கும் ஏற்க முடியாததாகவும் இருக்கலாம்.

போர்ட்: DNAT நீங்கள் பொருத்தும் எண்ணை மாற்றுகிறது

Docker iptables உடன் சாதாரண Linux பால வெளியீட்டில், 8443 இலிருந்து கொள்கலன் போர்ட் 443 க்கான ஹோஸ்ட் பொருத்தம் அனுப்பு வடிகட்டி இயங்குவதற்கு முன் மொழிபெயர்க்கப்படுகிறது. பாக்கெட் வடிகட்டியை அடைவது இலக்கு போர்ட் 443 உடன். அந்த நேரத்தில் 8443 உடன் பொருந்தும் விதி ஒருபோதும் செயல்படாது, கிளையன் தட்டச்சு செய்தது 8443 ஆக இருந்தாலும்.

வெளியிடப்பட்ட போர்ட் இன்னும் இணைப்பு கண்காணிப்பில் உள்ளது, எனவே உண்மையில் தேவைப்படும்போது அசல் இலக்கை அங்கு பொருத்தலாம்.

எந்த எண் நோக்கத்தை வெளிப்படுத்துகிறது என்பதை முடிவு செய்யுங்கள். விதி கொள்கலனுக்குள் உள்ள சேவையைப் பாதுகாக்கும்போது DNAT க்குப் பின் உள்ள கொள்கலன் போர்ட்டுடன் பொருந்துங்கள். விதி கிளையன் கேட்டதை விவரிக்க வேண்டியிருந்தால் conntrack விருப்பத்துடன் அசல் இலக்குடன் பொருந்துங்கள், அதனுடன் வரும் கூடுதல் பொருத்தச் செலவையும் விதி வரிசை குறித்த கவனத்தையும் ஏற்றுக்கொள்ளுங்கள்.

சங்கிலி: INPUT அல்ல, DOCKER-USER

Docker இன் iptables வழிகாட்டி பயனர் அனுப்பு கொள்கையை DOCKER-USER சங்கிலியில் வைக்கிறது, அது Docker இன் சொந்த அனுப்பு விதிகளுக்கு முன் மதிப்பிடப்படுகிறது. ஹோஸ்ட் சேவையிலிருந்து INPUT சங்கிலிக்கு நகலெடுக்கப்பட்ட விதி ஹோஸ்டை நோக்கிய போக்குவரத்தை வடிகட்டுகிறது, கொள்கலனுக்கு அனுப்பப்படும் போக்குவரத்தை அல்ல. அந்த தவறு சரியாகத் தோன்றும், ஆனால் கொள்கலன் பாதையில் எந்த விளைவும் இல்லாத விதியை உருவாக்குகிறது.

மூல வரம்பு, பயனுள்ள இலக்கு போர்ட், நெறிமுறை மற்றும் உள்வரும் இடைமுகத்தை ஒரே விதியில் ஒன்றாக வைத்திருங்கள். ஒவ்வொரு அனுப்பப்படும் இலக்கிற்கும் மூல அடிப்படையிலான அனுமதி ஒரு வெளியிடப்பட்ட சேவையை அனுமதிப்பதை விட பரந்தது.

புதிய இணைப்புகளுடன் சரிபார்க்கவும்

புதிய இணைப்புகளுடன் இரு திசைகளையும் சோதிக்கவும்: ஒரு அனுமதிக்கப்பட்ட VPN கிளையன் மற்றும் மறுக்கப்பட்டே இருக்க வேண்டிய ஒரு மூலம். ஏற்கனவே உள்ள இணைப்பு நிலை கொள்கை மாறிய பின்னும் அமர்வை உயிர்ப்புடன் வைத்திருக்கலாம், எனவே பழைய இணைப்பு புதிய விதி பற்றி எதையும் நிரூபிக்காது. பின்னர் பதில் பாதையைச் சரிபார்க்கவும், ஏனெனில் கொள்கலன் இன்னும் தான் காணும் மூலத்திற்குத் திரும்பி வழிமாற்ற வேண்டும்.

இந்தச் சரிபார்ப்புகளுக்குப் பின்னால் உள்ள சங்கிலி வரிசையையும் போர்ட் மொழிபெயர்ப்பு நடத்தையையும் Docker இன் iptables வழிகாட்டி ஆவணப்படுத்துகிறது. எந்தச் செய்முறையையும் நகலெடுக்கும் முன் அதைப் படியுங்கள், நிறுவப்பட்ட Docker எந்த backend ஐப் பயன்படுத்துகிறது என்பதை உறுதிப்படுத்துங்கள், ஏனெனில் nftables backend கொள்கையை வேறு விதமாக ஒருங்கிணைக்கிறது.