Pod IP, ClusterIP ili interni balanser opterećenja za VPN korisnike

Uz VPC CNI Pod može imati adresu iz VPC-a, a VPN korisnik s ispravnom rutom može mu pristupiti direktno. Zato direktan pristup Podu izgleda kao najjednostavnija opcija, i jeste, dok se Pod ne zamijeni. Adresa koju korisnik pamti treba pripadati aplikaciji, a ne replici. Poređenje tri ulaza svodi se na to koji objekat posjeduje adresu i šta mora nastaviti raditi kada se radno opterećenje premjesti.

Birajte prvo po životnom ciklusu, a zatim po tome šta mreža mora učiniti da ulaz bude dostupan.

Tri ulaza, tri životna ciklusa

Pod IP posjeduje Pod: dodjeljuje se s njim i oslobađa kada se završi. ClusterIP posjeduje Service i on je virtuelan, ima smisla samo tamo gdje postoji usmjeravanje servisa u klasteru. Interni balanser opterećenja posjeduje cloud resurs koji kontroler klastera programira backendima. Ti modeli vlasništva predviđaju kvar koji ćete dobiti: zastarjelu adresu, nedostupno ime ili zastarjeli skup backendova.

Zapišite poređenje prije nego što birate. Kada su vlasnik i kvar imenovani, izbor se obično sam nametne.

Direktan pristup Podu: koristan, privremen

Direktan pristup je zaista koristan za kontroliranu provjeru: jedan administrator, jedna kratka sesija, jedan određeni port. Ali je loš ugovor za korisnike jer je adresa detalj implementacije koji se mijenja pri svakom izdavanju. A zapisivanje takve adrese u wiki je način na koji radna usluga postaje glasina.

To takođe poziva na široka pravila. Dozvola da jedan administrator dosegne jedan Pod nije dozvola za svaku adresu u podmreži čvora, a upravo se drugo obično zapisuje.

ClusterIP: ograničen na klaster po dizajnu

ClusterIP radi jer dataplane klastera programira usmjeravanje za njega unutar klastera. S laptopa na VPN-u adresa ne znači ništa osim ako je nešto namjerno ne izloži. Ime koje završava na svc.cluster.local pripada DNS-u klastera, pa njegovo kopiranje klijentu s drugim resolverom daje ime koje ne postoji, a ne grešku usmjeravanja.

ClusterIP ostaje ispravan ulaz za pozivaoce unutar klastera, uključujući druga radna opterećenja. On jednostavno nije mehanizam objavljivanja za korisnike izvan domena usmjeravanja klastera.

Interni balanser opterećenja: objavljeni put

Interni balanser opterećenja daje vam stabilnu privatnu adresu i ime na koje vaša zona može pokazivati, dok kontroler održava skup backendova ažurnim, kako opisuje EKS vodič za balansiranje opterećenja. To je ulaz koji preživljava običnu zamjenu Poda bez ikakvog uređivanja dokumenta. Košta cloud resurs, konfiguraciju kontrolera i rutu s VPN-a, a upravo te dijelove ljudi potcjenjuju.

Koristite model kontrolera koji klaster zaista pokreće. Anotacije napisane za jednu integraciju ne vrijede za drugu.

Ko je izvorna adresa

Sigurnosne grupe vide izvor koji stiže na njihovu granicu, a to može biti povezani klijent ili prevedena adresa, zavisno od puta VPN-a i balansiranja opterećenja. Na čvorovima na EC2 obični Podovi VPC CNI podrazumijevano nasljeđuju grupe ENI-ja čvora, dok podržane konfiguracije mogu priključiti grupe specifične za Pod. Pišite pravila za dokumentirani put, a ne za pretpostavljenu adresu laptopa.

Držite vlastiti slušalac i autentifikaciju aplikacije kao odvojene kontrole. Mrežno pravilo koje dopušta tok nije odluka o autorizaciji i ne treba se tako tretirati.

Šta predati korisnicima

Dajte korisnicima ime servisa, a ne adresu. Objavite ime u privatnoj zoni, usmjerite ga na interni ulaz, a zatim testirajte zamjenom backend Poda dok klijent drži isto ime otvoreno. Ta vježba provjerava svojstvo koje je važno: dostizanje iste aplikacije nakon rutinskog izdanja.

Držite direktan pristup Podu kao dokumentirani operativni izuzetak s vlastitim obuhvatom, daleko od uputstava za korisnike.