میزبان IPsec ہم منزل تک پہنچتا ہے، Docker کنٹینر نہیں

آپ Linux مشین سے دور دراز میزبان کو ping کرتے ہیں اور وہ جواب دیتا ہے، یعنی سرنگ کام کر رہی ہے۔ آپ کے پاس والا کنٹینر اب بھی وقت ختم ہونے کا شکار ہے، اور اگلا فطری قدم Docker دوبارہ شروع کرنا ہے۔ برج نیٹ ورک پر کنٹینر عموماً مختلف ماخذ پتے سے شروع ہوتا ہے اور میزبان میں ایپلیکیشن کے اپنے اخراجی راستے کے بجائے فارورڈنگ کے ذریعے داخل ہوتا ہے، اس لیے کامیاب ٹیسٹ نے دوسرا پیکٹ ناپا۔ پالیسی پر مبنی strongSwan سرنگ کے لیے دور دراز ذیلی نیٹ کی طرف عام راستہ کافی نہیں جب فارورڈ شدہ پیکٹ نصب IPsec پالیسی سے نہ ملے۔

نیچے دی گئی رہنمائی ایک منزل کو دو ماخذوں میں سے گزرتے ہوئے دیکھتی ہے اور کچھ بدلنے سے پہلے حالت پڑھتی ہے۔

ایک منزل اور دو ماخذوں سے شروع کریں

پہلے IP کے لحاظ سے کوئی معلوم سروس منتخب کریں تاکہ ساتھ ہی DNS کی خرابی نہ دیکھیں۔ تین حقائق لکھیں: کنٹینر کا برج سابقہ، کامیاب میزبان درخواست کا ماخذ پتہ، اور سرنگ کے لیے طے شدہ مقامی اور دور دراز ٹریفک سلیکٹرز۔ یہ تین اعداد اس علامت کے تقریباً ہر کیس کی وضاحت کرتے ہیں۔

پھر ناکام درخواست کنٹینر کے اندر سے دہرائیں اور وہ ماخذ پکڑیں جو وہ واقعی استعمال کرتا ہے۔ اگر یہ پتہ مقامی سلیکٹر میں شامل نہیں تو نتیجہ آپ پہلے ہی جانتے ہیں، اور کنٹینر دوبارہ بنانا اسے نہیں بدلے گا۔

Docker کو چھونے سے پہلے پالیسیاں پڑھیں

صرف پڑھنے والی میزبان جانچ راستہ سازی کے فیصلوں، پالیسی ڈیٹا بیس اور ان کے درمیان انتخاب کرنے والے قواعد کا احاطہ کرتی ہے:

ip rule show
ip route show table all
ip xfrm policy

پالیسی فہرست سلیکٹرز اور سمت کلیدی مواد سے بھری IPsec حالت کی ڈمپ کے بغیر دکھاتی ہے، اسی لیے اسے ٹکٹ میں چپکانا محفوظ ہے۔ کوئی مقامی سلیکٹر تلاش کریں جو میزبان پتہ ڈھانپے مگر برج سابقہ نہ ڈھانپے۔ اوورلیپ بھی دیکھیں: دور دراز منزل کو مقامی سمجھنے والا کنٹینر راستہ کبھی متوقع فارورڈ شدہ پیکٹ پیدا نہیں کرے گا، اور الزام سرنگ پر آتا ہے۔ وہ فہرست کنٹینر کے ماخذ پتے کے پاس رکھیں، کیونکہ دونوں مل کر پوری موازنہ ہیں۔

اگر کنٹینر سابقہ موجود نہ ہو تو رکیں اور کچھ اور ترمیم کرنے سے پہلے ساخت کا فیصلہ کریں۔ باقی رہنمائی فرض کرتی ہے کہ آپ طے کر چکے ہیں کہ کون سا ماخذ پتہ نیٹ ورک پر نظر آنا چاہیے۔

فلٹرنگ اور ترجمہ ترتیب سے جانچیں

Docker کا Linux برج فائر وال فارورڈنگ کو IPsec سے الگ روک سکتا ہے۔ iptables بیک اینڈ کے ساتھ FORWARD راستہ اور DOCKER-USER فیصلے دیکھیں، یاد رکھیں کہ پہلے کے فیصلے کے بعد شامل کردہ قاعدہ کبھی نہ چل سکے۔ nftables بیک اینڈ مختلف طریقے سے جڑتا ہے، اس لیے محض اس لیے DOCKER-USER زنجیر نہ بنائیں کہ کسی iptables مثال نے اسے یہ نام دیا؛ دیکھیں آپ کا daemon واقعی کون سا بیک اینڈ استعمال کرتا ہے۔

پھر ماخذ ترجمہ جانچیں۔ وسیع MASQUERADE قاعدہ ایسے پیکٹ کو جو پہلے IPsec سلیکٹر سے ملتا تھا ایسے پیکٹ میں بدل سکتا ہے جو اب نہیں ملتا، اور خرابی بالکل راستہ سازی کے مسئلے جیسی لگتی ہے۔ strongSwan فارورڈنگ گائیڈ ایسے ترجمے سے پہلے درکار NAT استثنا کی دستاویز کرتا ہے برائے ایسی ٹریفک جو پہلے ہی پالیسی سے ملتی ہو۔

یہ استثنا سرنگ میں غیر ڈھانپا کنٹینر ماخذ شامل کرنے کا طریقہ نہیں۔ یہ صرف ایسی ٹریفک بچاتا ہے جو پہلے ہی ڈیزائن سے میل کھاتی ہے، اس لیے پہلے سلیکٹر اور واپسی راستے کے سوال حل کریں، پھر NAT اور فلٹرنگ کو جواب سے ہم آہنگ کریں۔ اگر آپ استثنا کو وسیع کرنے لگیں تو بدلنے والی چیز سلیکٹر ہے، NAT قاعدہ نہیں۔

پھر فیصلہ کریں راستہ شدہ یا مترجم

راستہ شدہ کنٹینر ذیلی نیٹ کا تقاضا ہے کہ دونوں ہم منزل اسے قبول کریں اور اس تک دور دراز واپسی راستہ ہو، جس کا مطلب عموماً دونوں سروں پر سلیکٹر تبدیلی اور دور والے فریق کے مالک سے گفتگو ہے۔ جان بوجھ کر مترجم ڈیزائن کو اس کے بجائے متعلقہ تلاش مرحلے پر پالیسی سے ڈھانپا پتہ پیش کرنا ہوگا، جس کا مطلب عموماً طے شدہ MASQUERADE کے بجائے تنگ اور دستاویزی قاعدہ ہے۔

دونوں ترتیبوں میں سے کوئی بھی میزبان کی کام کرتی سرنگ سے خودبخود نہیں نکلتا، اور ان میں سے انتخاب مالک والا ڈیزائن فیصلہ ہے۔ لکھیں آپ نے کون سا چنا، ورنہ اگلا انجینئر اسے فائر وال کاؤنٹرز سے دوبارہ اخذ کرے گا۔

مخلوط خرابی پر بھی نظر رکھیں: قواعد کا نصف ترجمہ شدہ اور نصف نہیں، جو وقفے وقفے سے کامیابی دیتا ہے جو منزل پورٹ پر منحصر ہے نہ کہ نیٹ ورک کی کسی چیز پر۔

نئے کنکشن سے تصدیق کریں، دوبارہ آغاز سے نہیں

نئے ایپلیکیشن کنکشن کا استعمال کریں جبکہ تنگ فائر وال کاؤنٹرز اور دور دراز وصول کنندہ دیکھیں، تاکہ ہر مشاہدے کا ماخذ ہو۔ Docker دوبارہ شروع کرنا قواعد کی حالت بدل سکتا ہے اور کام کے بوجھ بھی متاثر کرے گا، جو آپ سے وہ صاف اشارہ چھین لیتا ہے جو آپ حاصل کرنا چاہتے تھے۔

پائیدار نتیجہ چار بیانات ہیں جو آپ دکھا سکتے ہیں: کنٹینر کا ماخذ، مماثل محفوظ راستہ، اجازت شدہ فارورڈنگ، اور واپس آنے والا جواب۔ جب چاروں قائم ہوں، کنٹینر اسی وجہ سے ہم منزل تک پہنچتا ہے جس وجہ سے میزبان پہنچتا ہے۔