chrisl's questions

Eu escrevi um script de backup em python usando tar(via subprocess) para fazer backups incrementais dos meus arquivos. Como alguns dos backups completos são bastante grandes (como minha pasta de imagens) e levam várias horas para serem concluídos (pela rede para o meu NAS), estou preocupado com o que acontece, quando o servidor/PC é desligado/reiniciado durante o cópia de segurança.

Acho que o script receberá um sinal TERM no desligamento/reinicialização. Trata tara interrupção do backup incremental normalmente, de modo que a próxima chamada para taradicionará com sucesso todos os arquivos ausentes, não retransmitindo todos os arquivos anteriores?

Se não, o que isso significa para o meu arquivo tar e o arquivo de instantâneo usado pelo tar (com a --listed-incrementalopção)?

O comando exato que eu uso é:

tar -vcpzf <target_file> --no-check-device -g <target_snapshot_file> <dir_to_backup>

Nota: No meu PC pretendo executar o script via anacron, embora ele mesmo verifique se um backup é devido quando executado.

Eu tenho um VPS executando vários contêineres docker. Eu tenho uma instância nextcloud, que obtém a terminação SSL/TLS por um proxy nginx (certificados de Let'sEncrypt). E eu tenho um contêiner openvpn. Em sua rede docker também hospedo outros serviços (próprio servidor dns de ligação e um servidor git), que posso acessar através da VPN.

Agora também quero acessar minha instância nextcloud por meio da VPN. Originalmente eu pensei que isso não seria um problema, já que a instância nextcloud pode ser acessada pela internet e a VPN também dá conexão à internet. Mas infelizmente não consigo alcançá-lo. Se eu enrolar meu servidor (http ou https) através da VPN, recebo "port 80/443: No route to host". Sem conectar a VPN a conexão funciona corretamente.

Se eu usar o traceroute, posso ver que ele chega corretamente ao IP público do meu VPS. Então eu concluo, que é um problema com o roteamento. O tráfego direcionado para a porta 80/443 no IP público do meu VPS não é encaminhado/roteado para o contêiner do proxy nginx (que expôs as portas mencionadas).

Pelo que entendi, o docker usa firewalld/iptables para rotear o tráfego entre e para contêineres. Assim, outras regras são aplicadas ao tráfego VPN, além do tráfego proveniente da internet. O que preciso configurar como, para que o tráfego VPN (servidor interno) para meu endereço IP público seja encaminhado corretamente para o container correspondente? Gostaria de manter a conectividade constante/inalterada entre os estados VPN e No-VPN, para que meu aplicativo Nextcloud não fique confuso.

O que eu tentei: Eu tentei as possibilidades de uma solução alternativa. Eu poderia adicionar uma própria entrada DNS para minha instância nextcloud no meu servidor DNS VPN, que aponta para o IP do contêiner do aplicativo nextcloud (onde eu perderia a terminação SSL/TLS) ou do proxy nginx. No último caso, o proxy nginx não encaminha o tráfego para o contêiner nextcloud, pois usa um nome de host diferente. Eu quero deixar a configuração do proxy inalterada, se possível, pois ela é preenchida automaticamente na inicialização do contêiner/do contêiner complementar letsencrypt. Além disso, os certificados não corresponderiam ao FQDN usado. Se eu tentar adicionar uma zona mestre com meu nome DNS real/público (para poder usar o mesmo FQDN de fora), todos os outros domínios desse TLD não serão mais encaminhados (Existe a possibilidade de configurar o bind por isso?).

TL;DR: o tráfego de um contêiner docker para o endereço IP do VPS público não é encaminhado para o contêiner docker correto, como o tráfego de fora.

Se você também precisar de mais informações sobre os contêineres usados, adicionarei links e meus arquivos docker-compose.

EDITAR:

[root@XXXXXXXX ~]# iptables -S FORWARD
-P FORWARD ACCEPT
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A FORWARD -o br-7e5cecc96f4a -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o br-7e5cecc96f4a -j DOCKER
-A FORWARD -i br-7e5cecc96f4a ! -o br-7e5cecc96f4a -j ACCEPT
-A FORWARD -i br-7e5cecc96f4a -o br-7e5cecc96f4a -j ACCEPT
-A FORWARD -o br-fd56ce52983e -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o br-fd56ce52983e -j DOCKER
-A FORWARD -i br-fd56ce52983e ! -o br-fd56ce52983e -j ACCEPT
-A FORWARD -i br-fd56ce52983e -o br-fd56ce52983e -j ACCEPT
-A FORWARD -o br-f1ef60d84b48 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o br-f1ef60d84b48 -j DOCKER
-A FORWARD -i br-f1ef60d84b48 ! -o br-f1ef60d84b48 -j ACCEPT
-A FORWARD -i br-f1ef60d84b48 -o br-f1ef60d84b48 -j ACCEPT
-A FORWARD -o br-b396aa5a2d35 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o br-b396aa5a2d35 -j DOCKER
-A FORWARD -i br-b396aa5a2d35 ! -o br-b396aa5a2d35 -j ACCEPT
-A FORWARD -i br-b396aa5a2d35 -o br-b396aa5a2d35 -j ACCEPT
-A FORWARD -o br-83ac9a15401e -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o br-83ac9a15401e -j DOCKER
-A FORWARD -i br-83ac9a15401e ! -o br-83ac9a15401e -j ACCEPT
-A FORWARD -i br-83ac9a15401e -o br-83ac9a15401e -j ACCEPT
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
-A FORWARD -i virbr0 -o virbr0 -j ACCEPT
-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -j FORWARD_direct
-A FORWARD -j FORWARD_IN_ZONES_SOURCE
-A FORWARD -j FORWARD_IN_ZONES
-A FORWARD -j FORWARD_OUT_ZONES_SOURCE
-A FORWARD -j FORWARD_OUT_ZONES
-A FORWARD -m conntrack --ctstate INVALID -j DROP
-A FORWARD -j REJECT --reject-with icmp-host-prohibited

Estou executando um VPS de um provedor alemão e quero mudar do Ubuntu para o CentOS. Lá tentei instalar o firewalld (não estava pré-instalado), mas sempre falha com o erro

ERROR: Failed to load nf_conntrack module: modprobe: ERROR: could not find module by name='nf_conntrack'
modprobe: ERROR: could not insert 'nf_conntrack': Function not implemented
modprobe: ERROR: Error running install command for nf_conntrack
modprobe: ERROR: could not insert 'nf_conntrack': Operation not permitted

Obviamente, o nf_conntrackmódulo do kernel não foi encontrado. Como este é um VPS, não posso mexer nos módulos do kernel. No site de suporte do meu provedor encontrei uma lista de módulos de kernel disponíveis, por exemplo:

ip_conntrack_netbios_ns
ipt_conntrack   
ip_conntrack   
ip_conntrack_ftp   
ip_conntrack_irc

Como nf_conntracknão está listado aqui, isso significa que não posso usar o firewalld? É possível executá-lo sem este módulo?

Eu acho que eu poderia usar o iptables, se eu quisesse (ele parece rodar corretamente). Mas como tenho mais experiência com firewalld, gostaria de ficar com ele.

CentOS Linux versão 7.7.1908 (Núcleo)

uname -a: Linux xxxxxx.xxxxxxxx.xxx 3.10.0-042stab140.1 #1 SMP Qui 15 de agosto 13:32:22 MSK 2019 x86_64 x86_64 x86_64 GNU/Linux