VPN sidecar uchun favqulodda o‘chirgich: chiqqanda trafikni bloklash

VPN konteynerining tarmoq nomlar maydonini bo‘lishadigan ilova konteynerining o‘z interfeysi yo‘q, shuning uchun tunnel ishlamay qolganda u hech narsa yubora olmaydi deb o‘ylash oson. Bu taxmin ahamiyatli bo‘lgan nosozlik rejimida noto‘g‘ri. Agar VPN jarayoni nomlar maydoni saqlanib turganda o‘lsa, ilova o‘z soketlarini, nomlar maydoni esa o‘z marshrutlarini saqlab qoladi va trafik hali o‘rnatilgan yo‘l bo‘ylab davom etadi. Haqiqiy kill switch aniq filtrlash siyosati va ish muhitining hayot tsikli sinovlaridir, ishga tushish bog‘liqligi emas.

Nima uchun nomlar maydonini bo‘lishish kill switch emas

Nomlar maydonini bo‘lishish ilova VPN konteynerining interfeyslari, manzillari va marshrut jadvalidan foydalanadi degani. Bo‘lishilgan nomlar maydoni buzilmagan ekan, u ilovaning tarmoqqa mustaqil yo‘lini olib tashlaydi va tunnel yo‘qolganda bu nomlar maydoni nima qilishi haqida hech narsa aytmaydi.

Compose bog‘liqlik shartlari ilovaning ishga tushishini bog‘liqlik sog‘lom bo‘lgunga qadar kechiktirishi mumkin. Bu vaqtning bir lahzasini qamrab oladi va keyingi hech qanday nosozlikni qamrab olmaydi, shuning uchun bu ishga tushish tartibi vositasidir, doimiy chiqish xavfsizlik devori emas.

Konteyner chiqqanda aslida nima bo‘ladi

Uchta hodisani ajrating. Konteyner ichidagi VPN jarayoni konteyner ishlashda davom etayotganda o‘lishi mumkin. Konteyner to‘xtashi yoki olib tashlanishi mumkin, bu nomlar maydonini yo‘q qiladi. Konteyner qayta yaratilishi mumkin, bu yangi nomlar maydoni va yangi qoidalar quradi.

Birinchi holatda nomlar maydoni saqlanadi, standart marshrut hali ham jismoniy interfeysga ishora qilishi mumkin va ilova to‘g‘ridan-to‘g‘ri yuborishda davom etadi. Ikkinchi holatda bog‘liq ilova odatda ulanishni butunlay yo‘qotadi, chunki uning nomlar maydoni yo‘qolgan. Uchinchi holatda ilova tunnel tayyor bo‘lmasdan yangi nomlar maydoniga qayta ulanadi. Har bir holat boshqa sinovni talab qiladi va faqat tartibli uzilishni qamrab oluvchi dizayn eng kam qiziqarli holatni qamrab oladi.

Aniq chiqish siyosatini quring

Siyosatni bo‘lishilgan nomlar maydoni ichida yozing, shunda u ilova paketlariga taalluqli bo‘ladi. Shakl tor istisnolar bilan standart tashlashdir: loopback, tunnel interfeysi va tunnel transporti uchun zarur bo‘lgan aniq oxirgi nuqta manzili va porti.

Oxirgi nuqta istisnosi tunnel ko‘tarilishidan oldin joyida bo‘lishi kerak, aks holda VPN mijozi o‘z serveriga yeta olmaydi. Shuning uchun qoidalar to‘plami jismoniy interfeysga umuman ruxsat berish o‘rniga tashqi transportga aniq ruxsat beradi. Agar nomlar maydonida IPv6 ulanishi bo‘lsa, IPv6 qoidalarini ham qo‘shing, chunki faqat IPv4ni qamrab oluvchi siyosat boshqa oilani ochiq qoldiradi.

DNS ham siyosatning bir qismidir. Agar ilova nomlarni faqat tunnel ichidan yetib boriladigan hal qiluvchi orqali hal qilsa, tashlash qoidasi tunnel o‘chganda hal qilishni buzadi va bu kill switch uchun to‘g‘ri xatti-harakatdir. Bu siz xohlagan narsa yoki yo‘qligini ongli ravishda hal qiling.

Hayot tsiklini sinab ko‘ring, faqat uzilishni emas

Tunnel sog‘lom bo‘lganda yangi zararsiz so‘rov yuboring, so‘ngra VPN jarayonini o‘ldiring va yana birini yuboring. Konteyner to‘xtagandan, qayta ishga tushgandan va qayta yaratilgandan keyin takrorlang. Yangi so‘rov muhim, chunki mavjud ulanish yangilarini bloklaydigan qoida o‘zgarishidan omon qolishi mumkin.

Bloklash mexanizmi sifatida sog‘liq tekshiruvi yoki chiqish IP qidiruviga tayanmang. Tekshiruv holatni kuzatadi va xabar qiladi; siyosat trafikni boshqaradi. Ikkalasi ham bir xil joylashtirishga tegishli va ular bir-birini almashtirmaydi.

Qoidalarni yozib qo‘ying, sinov yangilanishdan omon qolsin

Har bir nosozlik holati uchun kutilgan natijani uni amalga oshiruvchi qoidalar bilan birga joylashtirish hujjatlariga yozing. Bu yozuv obraz yangilanishi yoki ish muhiti yangilanishidan keyin xuddi shu sinovni o‘tkazishga imkon beradi, chunki nomlar maydoni xatti-harakati yoki standart marshrutlar hech kim compose faylini tahrirlamasdan o‘zgarishi mumkin.

VPN oxirgi nuqtasining zarur tashqi yo‘lini cheklanmagan ilova chiqishidan ajratib turing va DNS hamda IPv6ni mo‘ljallangan qamrov ichida saqlang. Agar siyosat qulaylik uchun butun jismoniy interfeysga ruxsat bersa, kill switch yo‘qolgan. Docker tarmoq hujjatlari siyosat qurilgan bo‘lishilgan nomlar maydoni tartibini tavsiflaydi va ish muhiti xatti-harakati shubha ostiga olinganda murojaat qilinadigan manba shudir.