Windows கொள்கலன்களும் VPN-உம்: உள்ளூர் நெட்வொர்க்கிங் ஏன் உடைகிறது
Windows கொள்கலன் ஹோஸ்ட்டின் ரூட் அட்டவணையைப் பயன்படுத்துகிறது, எனவே உள்ளூர் துணைநெட்வொர்க்கைத் தடுக்கும் VPN கொள்கலனின் முன்னொட்டையும் தன்னுடன் எடுத்துச் செல்கிறது. Linux பயன்முறை வேறு பாதையை எடுக்கிறது.
ஒரே மடிக்கணினியில், ஒரு VPN கிளையண்ட் இணைக்கப்பட்டிருக்கும்போது, Linux கொள்கலன்கள் ஒன்றோடொன்று பேசிக்கொண்டே இருக்கின்றன, Windows கொள்கலன்கள் நிற்கின்றன. மாறக்கூடியது படிமம் அல்ல; பாக்கெட்டுகள் ஹோஸ்ட்டை அடையும் பாதையே. இயல்புநிலை நெட்வொர்க்கில் உள்ள Windows கொள்கலன்கள் ஹோஸ்ட்டின் ரூட் அட்டவணையையும் மொழிபெயர்ப்பையும் கடன் வாங்குகின்றன, எனவே ஹோஸ்ட்டின் வழித்தடத்தை மாற்றும் கொள்கை அவற்றையும் மாற்றுகிறது. எதையும் மீண்டும் நிறுவுவதற்கு முன் ரூட் தேடலால் அதை உறுதிசெய்யுங்கள்.
Windows கொள்கலனின் பாக்கெட்டுகள் ஹோஸ்ட்டில் எங்கு நுழைகின்றன
இயல்புநிலை nat நெட்வொர்க்கில் உள்ள கொள்கலன் Host Networking Service முன்னொட்டிலிருந்து முகவரியைப் பெறுகிறது, பொதுவாக 172.16.0.0/12 க்குள் எங்கோ, மேலும் மெய்நிகர் அடாப்டர் வழியாக ஹோஸ்ட்டை அடைகிறது. அந்த முன்னொட்டின் ரூட்டை ஹோஸ்ட் வைத்திருக்கிறது, தற்போது செயலில் உள்ள அடாப்டரை நோக்கி போக்குவரத்தை மொழிபெயர்க்கிறது. அந்தப் பாதையின் நடுவில் தனி மெய்நிகர் இயந்திரம் இல்லை.
இந்த வடிவமைப்பே தோல்வியை இயந்திரமயமாக்குகிறது. கொள்கலன் ஒரு பாக்கெட்டை அனுப்பும்போது, ஹோஸ்ட் கொள்கலன் முன்னொட்டிற்கான ரூட் தேடலைச் செய்கிறது. எந்த ரூட் வென்றாலும் பாக்கெட் அங்கே செல்கிறது, கொள்கலனுக்கு அதில் கருத்தில்லை.
VPN கிளையண்ட் அந்தப் பாதையில் என்ன மாற்றுகிறது
நிறுவனக் கிளையண்ட் பெரும்பாலும் பரந்த ரூட்டுகளின் தொகுப்பையும், சுரங்கப்பாதை இயங்கும் போது உள்ளூர் துணைநெட்வொர்க்கிற்கான அணுகலை மறுக்கும் வடிகட்டியையும் நிறுவுகிறது. நோக்கம் பாதுகாப்பானது: சமரசம் செய்யப்பட்ட உள்ளூர் நெட்வொர்க் பாதுகாக்கப்பட்ட இயந்திரத்தை அடையக்கூடாது. பக்க விளைவு என்னவென்றால், ஹோஸ்ட்டின் ரூட் கொள்கலன் முன்னொட்டு வரை இனி உள்ளூர் NAT நெட்வொர்க் அல்ல.
அதற்கு பதிலாக தேடல் சுரங்கப்பாதையுடன் பொருந்துகிறது, பாக்கெட் அந்த கொள்கலன் முகவரியை ஒருபோதும் கேளாத நுழைவாயிலுக்கு வழங்கப்படுகிறது. Ping தோல்வியடைகிறது, பயன்பாடு நேரம் முடிகிறது, VPN ஐகான் ஒளிரும்போது கொள்கலன் உடைந்ததாகத் தெரிகிறது. இணைந்திருக்கும்போது ஹோஸ்ட்டின் அட்டவணையைப் பாருங்கள், போட்டி ரூட் தெரிகிறது.
| Container mode | Outbound path | Typical result behind the VPN |
|---|---|---|
| Windows, default nat | Host routes and translates container traffic | Container prefix follows the tunnel and fails |
| Windows, transparent | Container sits on the physical link | Depends on the local subnet being allowed |
| Linux engine on Docker Desktop | VM egress proxied by a host process | Often keeps working |
Linux கொள்கலன்கள் ஏன் வேறு விதமாக நடந்துகொள்கின்றன
Linux இயந்திரம் கொள்கலன்களை இலகுவான மெய்நிகர் இயந்திரத்திற்குள் இயக்குகிறது, அந்த இயந்திரத்திலிருந்து வெளியேறும் இணைப்புகளை கொள்கலனின் சார்பாக ஹோஸ்ட் பக்க ப்ராக்ஸி திறக்கிறது. சாக்கெட்டைத் தொடங்குவது ஹோஸ்ட், எனவே கொள்கலன் முன்னொட்டு பற்றிய VPN விதி அதற்கு அதே வழியில் பொருந்தாது, பணிச்சுமை நெட்வொர்க்கை அடைந்து கொண்டே இருக்கிறது.
இந்த வேறுபாடே Linux சமையல் குறிப்புகள் மாற்றப்படாததற்கான காரணத்தையும் விளக்குகிறது. தனது சொந்த சுரங்கப்பாதை தேவைப்படும் Linux கொள்கலனுக்கு TUN சாதனமும் NET_ADMIN திறனும் வழங்கப்படுகிறது. Windows கொள்கலன்கள் எந்த இடைமுகத்தையும் சாதனமாக வெளிப்படுத்துவதில்லை, எனவே அந்த முறைக்கு அந்தப் பக்கத்தில் இணையில்லை.
ரூட்டை நிரூபித்து, பின்னர் வடிவமைப்பைத் தேர்ந்தெடுக்கவும்
ஆதாரங்களை கொள்கலனிலிருந்து அல்ல, ஹோஸ்ட்டிலிருந்து சேகரிக்கவும், ஏனெனில் தேடலைச் செய்வது ஹோஸ்ட்:
docker network inspect nat --format "{{range .IPAM.Config}}{{.Subnet}}{{end}}"
route print -4
Get-NetRoute -AddressFamily IPv4 | Where-Object DestinationPrefix -like "172.16.*"VPN இணைவதற்கு முன் ஒருமுறை, அதன் பிறகு ஒருமுறை ரூட் வெளியீட்டை இயக்கவும். இரண்டாவது வெளியீட்டில் கொள்கலன் முன்னொட்டு சுரங்கப்பாதை அடாப்டரைச் சுட்டினால், நோயறிதல் முழுமையானது, கொள்கலன்களை மீண்டும் தொடங்குவது உதவாது.
முதல் விருப்பம் கொள்கை முடிவு: இந்தச் சாதனத்திற்கு உள்ளூர் LAN அணுகலை அனுமதிக்கலாமா என்று நெட்வொர்க் உரிமையாளரிடம் கேளுங்கள். பல நிறுவனக் கிளையண்டுகள் அதை ஒரு அமைப்பாக வழங்குகின்றன, ஆனால் அது வேண்டுமென்றே வரையப்பட்ட எல்லையை பலவீனப்படுத்துகிறது. உரிமையாளரும் மறுஆய்வு தேதியும் கொண்ட ஆவணப்படுத்தப்பட்ட விதிவிலக்காகக் கேளுங்கள். யாரும் திரும்பிப் பார்க்காத ஒவ்வொரு சாதனத்திற்கான டாகிள் என்பது பாதுகாப்புக் கொள்கை அமைதியாக மறைவதற்கான வழி.
கொள்கை நிலைத்திருக்க வேண்டிய இடத்தில், ரூட்டுடன் போராடுவதற்குப் பதிலாக பணிச்சுமையை நகர்த்துங்கள். தெளிவான துணைநெட்வொர்க் மற்றும் நுழைவாயில் கொண்ட ஒளிபுகு நெட்வொர்க் கொள்கலன்களை உள்ளூர் இணைப்பில் வைக்கிறது, Linux பணிச்சுமை VM ப்ராக்ஸிக்குப் பின்னால் இயங்குகிறது, மற்றும் தனது சொந்த கிளையண்டுடன் தனி மெய்நிகர் இயந்திரம் தனது சொந்தக் கொள்கையைத் தக்கவைத்துக்கொள்கிறது. ஒன்றை வேண்டுமென்றே தேர்ந்தெடுத்து கொள்கலனின் உள்ளிருந்து சோதியுங்கள், ஏனெனில் பயனரின் கோரிக்கை அங்கேயே தோன்றுகிறது.