Docker: Как проверить, зашифрована ли оверлейная сеть - PullRequest
Новая
       11

Docker: Как проверить, зашифрована ли оверлейная сеть

1 голос
/ 01 февраля 2020

Есть ли способ проверить, действительно ли оверлейная сеть зашифрована?

Я знаю, что вы можете создать зашифрованную оверлейную сеть, используя 

docker network create --opt encrypted --driver overlay my-encrypted-network

Но так как вы можете указать виртуально что угодно в качестве опции драйвера (--opt) вы можете легко набрать "зашифрованный", и docker не будет жаловаться.

Допустим, я набираю (обратите внимание на опечатку!) 

docker network create -d overlay --opt encryptedsd my-encrypted-network

Теперь, используя docker network inspect my-encrypted-network, я получаю только информацию о том, что набрал, но не вижу, если сеть фактически зашифрованный. 

[
    {
        "Name": "my-encrypted-network",
        "Id": "j4jd8dlde9u7rs1crlzbqco4p",
        "Created": "2020-02-01T13:17:39.65392102Z",
        "Scope": "swarm",
        "Driver": "overlay",
        "EnableIPv6": false,
        "IPAM": {
            "Driver": "default",
            "Options": null,
            "Config": [
                {
                    "Subnet": "10.0.4.0/24",
                    "Gateway": "10.0.4.1"
                }
            ]
        },
        "Internal": false,
        "Attachable": false,
        "Ingress": false,
        "ConfigFrom": {
            "Network": ""
        },
        "ConfigOnly": false,
        "Containers": null,
        "Options": {
            "com.docker.network.driver.overlay.vxlanid_list": "4100",
            "encryptedsd": ""
        },
        "Labels": null
    }
]

Помимо опечаток, это не выглядит обнадеживающим, поскольку мне бы очень хотелось узнать, действительно ли включено шифрование, а не просто знать, что я набрал.

Кто-нибудь знает, есть ли лучший способ получить надежный ответ?

1 Ответ

0 голосов
/ 03 февраля 2020

Согласно документам:

Когда вы включаете оверлейное шифрование, Docker создает IPSE C туннели между всеми узлами, где запланированы задачи для служб, подключенных к оверлейной сети. В этих туннелях также используется алгоритм AES в режиме GCM, и управляющие узлы автоматически поворачивают ключи каждые 12 часов.

Подход, отличающийся от того, который вы упомянули (какой IMO действителен), заключается в проверке (например, используя netstat), где были созданы эти туннели IPSE C.

...