హోస్ట్ IPsec భాగస్వామిని చేరుతుంది, Docker కంటైనర్ చేరదు

మీరు Linux యంత్రం నుండి దూరపు హోస్ట్కు ping పంపుతారు, అది సమాధానం ఇస్తుంది, కాబట్టి సొరంగం పని చేస్తోంది. మీ పక్కనున్న కంటైనర్ ఇంకా సమయం మించి నిలిచిపోతుంది, తదుపరి సహజ అడుగు Dockerని మళ్లీ ప్రారంభించడం. బ్రిడ్జ్ నెట్వర్క్ కంటైనర్ సాధారణంగా వేరే మూల చిరునామాతో ప్రారంభమై, అప్లికేషన్ సొంత నిష్క్రమణ మార్గం బదులు ఫార్వర్డింగ్ ద్వారా హోస్ట్లోకి ప్రవేశిస్తుంది, కాబట్టి విజయవంతమైన పరీక్ష మరో ప్యాకెట్ను కొలిచింది. విధాన ఆధారిత strongSwan సొరంగానికి, ఫార్వర్డ్ చేసిన ప్యాకెట్ ఇన్స్టాల్ చేసిన IPsec విధానంతో సరిపోలనప్పుడు దూరపు సబ్నెట్కు సాధారణ మార్గం సరిపోదు.

క్రింది మార్గదర్శిని ఒక గమ్యాన్ని రెండు మూలాల ద్వారా అనుసరిస్తుంది, ఏదైనా మార్చే ముందు స్థితిని చదువుతుంది.

ఒక గమ్యం, రెండు మూలాలతో ప్రారంభించండి

మొదట IP ప్రకారం తెలిసిన సేవను ఎంచుకోండి, ఒకేసారి DNSని సరిచేయకండి. మూడు వాస్తవాలను నమోదు చేయండి: కంటైనర్ బ్రిడ్జ్ ప్రీఫిక్స్, విజయవంతమైన హోస్ట్ అభ్యర్థన మూల చిరునామా, మరియు సొరంగం కోసం అంగీకరించిన స్థానిక, దూర ట్రాఫిక్ సెలెక్టర్లు. ఆ మూడు సంఖ్యలు ఈ లక్షణం యొక్క దాదాపు ప్రతి సందర్భాన్ని వివరిస్తాయి.

తర్వాత విఫలమైన అభ్యర్థనను కంటైనర్ లోపలి నుండి పునరావృతం చేసి, అది నిజంగా ఉపయోగించే మూలాన్ని పట్టుకోండి. ఆ చిరునామా స్థానిక సెలెక్టర్ కవర్ చేయకపోతే, ఫలితం మీకు ఇప్పటికే తెలుసు, కంటైనర్ మళ్లీ సృష్టించడం దాన్ని మార్చదు.

Dockerని తాకే ముందు విధానాలను చదవండి

చదవడం-మాత్రమే హోస్ట్ తనిఖీలు రూటింగ్ నిర్ణయాలు, విధాన డేటాబేస్ మరియు వాటి మధ్య ఎంచుకునే నియమాలను కవర్ చేస్తాయి:

ip rule show
ip route show table all
ip xfrm policy

విధాన జాబితా సెలెక్టర్లు మరియు దిశను కీ మెటీరియల్తో నిండిన IPsec స్థితి డంప్ లేకుండా చూపుతుంది, కాబట్టి దాన్ని టికెట్లో అతికించడం సురక్షితం. హోస్ట్ చిరునామాను కవర్ చేసి, బ్రిడ్జ్ ప్రీఫిక్స్ను కవర్ చేయని స్థానిక సెలెక్టర్ కోసం వెతకండి. ఓవర్ల్యాప్ను కూడా తనిఖీ చేయండి: దూర గమ్యాన్ని స్థానికంగా పరిగణించే కంటైనర్ మార్గం ఎప్పుడూ ఆశించిన ఫార్వర్డ్ ప్యాకెట్ను ఉత్పత్తి చేయదు, నింద సొరంగంపై పడుతుంది. ఆ జాబితాను కంటైనర్ మూల చిరునామా పక్కన ఉంచండి, ఎందుకంటే రెండూ కలిసే పూర్తి పోలిక.

కంటైనర్ ప్రీఫిక్స్ లేకపోతే, ఆపి, మరేదైనా సవరించే ముందు నిర్మాణాన్ని నిర్ణయించండి. మిగిలిన మార్గదర్శిని, ఏ మూల చిరునామా నెట్వర్క్లో కనిపించాలో మీరు అంగీకరించారని ఊహిస్తుంది.

ఫిల్టరింగ్ మరియు అనువాదాన్ని వరుసగా తనిఖీ చేయండి

Docker Linux బ్రిడ్జ్ ఫైర్వాల్ ఫార్వర్డింగ్ను IPsec నుండి స్వతంత్రంగా నిరోధించగలదు. iptables backendతో FORWARD మార్గాన్ని మరియు DOCKER-USER నిర్ణయాలను పరిశీలించండి, మునుపటి తీర్పు తర్వాత జోడించిన నియమం ఎప్పుడూ నడవకపోవచ్చని గుర్తుంచుకోండి. nftables backend వేరే విధంగా సమన్వయమవుతుంది, కాబట్టి ఏదో iptables ఉదాహరణ అలా పిలిచిందని మాత్రమే DOCKER-USER గొలుసును సృష్టించకండి; మీ daemon నిజంగా ఏ backend ఉపయోగిస్తుందో తనిఖీ చేయండి.

తర్వాత మూల అనువాదాన్ని తనిఖీ చేయండి. విస్తృత MASQUERADE నియమం మునుపు IPsec సెలెక్టర్కు సరిపోలిన ప్యాకెట్ను ఇక సరిపోలని దానిగా మార్చగలదు, మరియు వైఫల్యం సరిగ్గా రూటింగ్ సమస్యలా కనిపిస్తుంది. strongSwan ఫార్వర్డింగ్ మార్గదర్శిని ఇప్పటికే విధానంతో సరిపోలే ట్రాఫిక్కు అలాంటి అనువాదానికి ముందు అవసరమైన NAT మినహాయింపును నమోదు చేస్తుంది.

ఆ మినహాయింపు సొరంగంలో కవర్ చేయని కంటైనర్ మూలాన్ని జోడించే మార్గం కాదు. ఇది ఇప్పటికే రూపకల్పనకు సరిపోయే ట్రాఫిక్ను మాత్రమే రక్షిస్తుంది, కాబట్టి మొదట సెలెక్టర్ మరియు తిరిగి వచ్చే మార్గ ప్రశ్నలను పరిష్కరించి, తర్వాత NAT మరియు ఫిల్టరింగ్ను సమాధానంతో సరిపోల్చండి. మినహాయింపును విస్తరించడం ప్రారంభిస్తే, మార్చవలసింది సెలెక్టర్, NAT నియమం కాదు.

తర్వాత రూటెడ్ లేదా అనువదించినది అని నిర్ణయించండి

రూటెడ్ కంటైనర్ సబ్నెట్కు రెండు భాగస్వాములూ ఆ సబ్నెట్ను అంగీకరించాలి మరియు అక్కడికి దూరపు తిరిగి వచ్చే మార్గం ఉండాలి, ఇది సాధారణంగా రెండు చివరల్లో సెలెక్టర్ మార్పు మరియు దూరపు వైపు యజమానితో సంభాషణ అని అర్థం. ఉద్దేశపూర్వకంగా అనువదించిన రూపకల్పన మాత్రం సంబంధిత శోధన దశలో విధానం కవర్ చేసే చిరునామాను ప్రదర్శించాలి, ఇది సాధారణంగా డిఫాల్ట్ MASQUERADE బదులు సన్నని, నమోదిత నియమం అని అర్థం.

ఈ రెండు ఏర్పాట్లలో ఏదీ హోస్ట్ పని చేసే సొరంగం నుండి దానంతట అదే రాదు, వాటి మధ్య ఎంపిక యజమాని ఉన్న రూపకల్పన నిర్ణయం. ఏది ఎంచుకున్నారో రాయండి, లేకపోతే తదుపరి ఇంజనీర్ దాన్ని ఫైర్వాల్ కౌంటర్ల నుండి మళ్లీ పొందుతారు.

మిశ్రమ వైఫల్యాన్ని కూడా గమనించండి: నియమాలలో సగం అనువదించబడింది, సగం కాదు, ఇది గమ్య పోర్టుపై ఆధారపడి, నెట్వర్క్లో ఏదానిపైనా ఆధారపడని మధ్యంతర విజయాన్ని కలిగిస్తుంది.

కొత్త కనెక్షన్తో ధృవీకరించండి, పునఃప్రారంభంతో కాదు

కొత్త అప్లికేషన్ కనెక్షన్ను ఉపయోగించి, సన్నని ఫైర్వాల్ కౌంటర్లను మరియు దూరపు గ్రహీతను గమనించండి, ప్రతి పరిశీలనకు మూలం ఉండాలి. Docker పునఃప్రారంభం నియమాల స్థితిని మార్చవచ్చు, పని భారాన్ని కూడా భంగపరుస్తుంది, ఇది మీరు పొందాలనుకున్న స్వచ్ఛమైన సంకేతాన్ని కోల్పోయేలా చేస్తుంది.

నిలిచే ఫలితం మీరు చూపగల నాలుగు ప్రకటనలు: కంటైనర్ మూలం, సరిపోలే రక్షిత మార్గం, అనుమతించిన ఫార్వర్డింగ్, మరియు తిరిగి వచ్చే సమాధానం. నాలుగూ నిజమైనప్పుడు, కంటైనర్ హోస్ట్ చేరే అదే కారణంతో భాగస్వామిని చేరుతుంది.