VPN istifadəçiləri üçün Pod IP, ClusterIP və ya daxili yük balanslaşdırıcısı
Pod IP, Pod dəyişdirilənə qədər VPN üzərindən yönləndirilə bilər. Birbaşa Pod girişini, ClusterIP-i və daxili balanslaşdırıcını müqayisə edin və hər birinin sizə nəyə başa gəldiyini görün.
VPC CNI ilə Pod VPC-dən ünvan ala bilər və düzgün marşruta sahib VPN istifadəçisi ona birbaşa çata bilər. Bu, birbaşa Pod girişini ən sadə variant kimi göstərir və Pod dəyişdirilənə qədər həqiqətən belədir. İstifadəçinin yadda saxladığı ünvan replikaya deyil, tətbiqə aid olmalıdır. Üç girişin müqayisəsi isə ünvanın hansı obyektə aid olduğuna və iş yükü yerini dəyişdikdə nəyin işləməyə davam etməli olduğuna gəlib çıxır.
Əvvəlcə həyat dövrünə görə seçin, sonra girişi əlçatan etmək üçün şəbəkənin nə etməli olduğuna görə.
Üç giriş, üç həyat dövrü
Pod IP Pod-a aiddir: onunla birlikdə ayrılır və bitdikdə sərbəst buraxılır. ClusterIP isə Service-ə aiddir və virtualdır, yalnız klasterin xidmət marşrutlaşdırması mövcud olan yerdə məna daşıyır. Daxili yük balanslaşdırıcısı klaster nəzarətçisinin backend-lərlə proqramlaşdırdığı bulud resursuna aiddir. Bu sahiblik modelləri alacağınız nasazlığı əvvəlcədən göstərir: köhnəlmiş ünvan, əlçatmayan ad və ya köhnəlmiş backend dəsti.
Seçim etməzdən əvvəl müqayisəni yazın. Sahib və nasazlıq adlandırıldıqdan sonra seçim adətən özü-özünü edir.
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Birbaşa Pod girişi: faydalı, müvəqqəti
Birbaşa giriş nəzarətli yoxlama üçün həqiqətən faydalıdır: bir administrator, bir qısa sessiya, bir konkret port. Lakin istifadəçilər üçün zəif müqavilədir, çünki ünvan hər yerləşdirmədə dəyişən tətbiq detalıdır. Onu vikiyə yazmaq isə işləyən xidmətin şaiəyə çevrilmə üsuludur.
Bu həm də geniş qaydalara yol açır. Bir administratorun bir Pod-a çıxışı üçün icazə, node alt şəbəkəsindəki hər ünvana icazə deyil və adətən yazılan ikincisidir.
ClusterIP: dizaynına görə klasterlə məhdud
ClusterIP işləyir, çünki klasterin dataplane-i onun üçün marşrutlaşdırmanı klaster daxilində proqramlaşdırır. VPN-dəki noutbukdan ünvan heç nə ifadə etmir, məgər kimsə onu qəsdən ixrac etmirsə. svc.cluster.local ilə bitən ad klaster DNS-ə aiddir, ona görə də onu fərqli resolver istifadə edən klientə köçürmək marşrutlaşdırma xətası deyil, mövcud olmayan ad verir.
ClusterIP klasterdaxili çağıranlar, o cümlədən digər iş yükləri üçün düzgün giriş olaraq qalır. Sadəcə klasterin marşrutlaşdırma domenindən kənar istifadəçilər üçün dərc mexanizmi deyil.
Daxili yük balanslaşdırıcısı: dərc edilmiş yol
Daxili yük balanslaşdırıcısı sizə sabit özəl ünvan və öz zonanızın göstərə biləcəyi ad verir, nəzarətçi isə backend dəstini aktual saxlayır, EKS yük balanslaşdırma bələdçisində təsvir edildiyi kimi. Adi Pod dəyişikliyindən heç kim sənəd redaktə etmədən keçən giriş budur. Bunun qiyməti bulud resursu, nəzarətçi konfiqurasiyası və VPN-dən marşrutdur və insanlar məhz bu hissələri az qiymətləndirir.
Klasterin həqiqətən işlətdiyi nəzarətçi modelindən istifadə edin. Bir inteqrasiya üçün yazılmış annotasiyalar digərinə tətbiq olunmur.
Mənbə ünvanı kimdir
Təhlükəsizlik qrupları öz sərhədlərinə gələn mənbəyi görür; bu, VPN və yük balanslaşdırma yolundan asılı olaraq qoşulmuş klient və ya çevrilmiş ünvan ola bilər. EC2 üzərindəki node-larda adi VPC CNI Pod-ları defolt olaraq node ENI qruplarını miras alır, dəstəklənən konfiqurasiyalar isə Pod-a xas qruplar əlavə edə bilər. Qaydaları təxmin edilən noutbuk ünvanı üçün deyil, sənədləşdirilmiş yol üçün yazın.
Tətbiqin öz dinləyicisini və autentifikasiyasını ayrı nəzarətlər kimi saxlayın. Axına icazə verən şəbəkə qaydası avtorizasiya qərarı deyil və belə qəbul edilməməlidir.
İstifadəçilərə nə vermək lazımdır
İstifadəçilərə ünvan deyil, xidmət adı verin. Adı özəl zonada dərc edin, onu daxili girişə yönəldin, sonra klient eyni adı açıq saxlayarkən backend Pod-u dəyişdirərək sınaqdan keçirin. Bu məşq vacib xassəni yoxlayır: adi yerləşdirmədən sonra eyni tətbiqə çatmaq.
Birbaşa Pod girişini öz əhatə dairəsi olan sənədləşdirilmiş əməliyyat istisnası kimi, istifadəçi təlimatlarından uzaqda saxlayın.