Collodd podiau GKE fynediad VPN ar ôl 1.14: dwy ffordd i drwsio'r ffynhonnell

Daw diweddariad, a dechreua systemau ar draws y tiwb wrthod traffig podiau a oedd yn gweithio yr wythnos flaenorol. Mae'r tiwb i fyny, nid yw'r rheolau tân wedi'u cyffwrdd, ac ni wnaeth neb olygu polisi'r cymar. Mae'r hyn a newidiodd yn anweledig yng nghofnodion y clwstwr: y cyfeiriad ffynhonnell y mae'r systemau hynny'n ei weld nawr. Mae'r bwlch hwnnw'n esbonio methiant sy'n edrych fel diffyg rhwydwaith ac sy'n ymddwyn fel problem caniatâd.

Mae dau ateb dilys, ac maen nhw'n eich anfon i wahanol leoedd. Dewiswch gontract y ffynhonnell cyn golygu ConfigMap.

Y rheol ragosodedig a beidiodd â chael ei gosod

Roedd rhyddhau GKE cynharach yn gosod rheol masquerade a oedd yn disodli ffynonellau podiau â chyfeiriad y nod cyn belled ag yr oedd y cyrchfan y tu allan i 10.0.0.0/8. Roedd porth VPN o fewn yr ystod honno'n gweld cyfeiriad y pod, tra roedd unrhyw beth ymhellach i ffwrdd yn edrych fel pe bai'n dod o'r nod. Adeiladodd cymheiriaid restrau caniatáu a llwybrau dychwelyd o amgylch cyfeiriadau nodau oherwydd dyna a welsant.

Peidiodd rhyddhau diweddarach â gosod y rheol ragosodedig honno. Nawr mae traffig podiau'n cyrraedd y porth â chyfeiriadau podiau, beth bynnag yw'r cyrchfan. Mae cymar sy'n llwybro cyfeiriadau nodau yn unig yn gollwng yr atebion, ac nid yw'r naill ochr na'r llall yn ysgrifennu cofnod defnyddiol yn y log. Gall y cais hyd yn oed lwyddo yn y pen draw, a dyna sy'n gwneud y methiant yn anodd ei olrhain.

Nid oes dim wedi torri yn yr ystyr bod cydran wedi marw. Mae'r ddwy ochr yn syml yn anghytuno ynghylch pa ffynhonnell sy'n gyfreithlon.

Dewiswch y ffynhonnell y dylai'r cymar ei gweld

Mae cadw cyfeiriadau podiau yn gontract mwy cywir. Mae'r ochr bell yn gweld y llwyth gwaith a gynhyrchodd y traffig, mae'r cofnodion yn parhau'n onest, ac mae polisi fesul pod yn dod yn bosibl. Y pris yw bod yn rhaid i'r cymar gario rhagddodiad y podiau.

Mae cadw cyfeiriadau nodau yn gontract rhatach. Trowch fasqueradu ymlaen eto ar gyfer y cyrchfan hwnnw a bydd'r cymar yn parhau i weld cyfeiriad y mae'n ymddiried ynddo'n barod.

Mae un cwestiwn yn penderfynu rhyngddynt: beth mae'r cymar yn ei wneud â'r ffynhonnell? Os yw'n cofnodi, yn cymhwyso polisi fesul ffynhonnell neu'n gorfodi llwybro dychwelyd cul, mae cyfeiriadau podiau'n cyfiawnhau'r cyfluniad ychwanegol. Os mai dim ond anfon atebion sydd ei angen, mae masqueradu'n costio llai ac yn gofyn dim o'r ochr arall. Mae'r naill ddewis na'r llall yn amddiffynadwy cyhyd ag y bydd y ddau dîm yn ei ysgrifennu i lawr.

Mae trydydd opsiwn fel arfer yn gamgymeriad: masqueradu popeth a cholli'r gallu i briodoli traffig. Osgoi hynny oni bai na all cymar wirioneddol lwybro unrhyw beth heblaw cyfeiriadau nodau.

Pwyntiwch nonMasqueradeCIDRs at y gwir ystodau

Mae GKE yn rhedeg yr ip-masq-agent yn kube-system, ac mae ei ConfigMap yn rhestru'r cyrchfannau sy'n hepgor masqueradu. I gadw ffynonellau podiau tuag at y tiwb, mae ystod y podiau, is-rwydwaith y nodau a'r rhagddodiad lleol i gyd yn perthyn i'r rhestr honno.

Amnewidiwch y gwerthoedd enghreifftiol ag ystodau o'ch clwstwr eich hun. Peidiwch â gwneud y rhestr yn lletach nag y mae'r gofyniad yn ei bennu, oherwydd mae pob cofnod ychwanegol yn newid yr hyn y mae rhyw gyrchfan arall yn ei weld. Mae'r tri chofnod isod yn cynrychioli rhwydwaith y podiau, is-rwydwaith y nodau a'r rhagddodiad y tu ôl i'r tiwb:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

Mae cofnod 0.0.0.0/0 yn analluogi masqueradu ar gyfer pob cyrchfan, sy'n newid sut mae llwythi gwaith di-gysylltiad yn ymddangos i wasanaethau allanol ac yn anaml yn fwriadol. Mae'r asiant yn ailddarllen ei gyfluniad ar resyncInterval, felly nid oes angen ailgychwyn fel arfer. Gwiriwch fod pod yr asiant yn rhedeg, yna agorwch y ffeil sydd wedi'i mowntio ynddo. Darllen y ffeil honno sy'n profi bod y newid wedi cyrraedd.

Y llwybr ateb yw'r hanner arall

Mae masqueradu'n newid ffynhonnell y cais ac yn ddim arall. Pa bynnag ffynhonnell y bydd'r cymar yn ei chael, mae dal angen llwybr yn ôl ati, ac mae dal angen llwybr gan y clwstwr tuag at y cymar.

Mae cipiad ar y porth VPN yn gwahanu'r ddau fethiant yn gyflym. Mae pecynnau sy'n cyrraedd â chyfeiriadau podiau ac nad ydynt byth yn cael ateb yn golygu nad oes gan y cymar lwybr ar gyfer rhagddodiad y podiau. Mae ateb sy'n ymddangos ar y porth ond nad yw byth yn cyrraedd y clwstwr yn golygu bod y llwybr lleol ar goll. Ysgrifennwch y contract yn y tocyn beth bynnag: pa ffynhonnell y mae'r cymar yn ei gweld, a pha ragddodiad y mae'n llwybro'n ôl ato.

Ailwirio ar ôl pob diweddariad

Mae ymddygiad masqueradu rhagosodedig wedi newid unwaith yn barod, a gall disodli pwll nodau ailosod rhwydwaith y clwstwr. Trin y contract ffynhonnell fel rhywbeth i'w wirio yn hytrach na rhywbeth i'w gymryd yn ganiataol.

Ar ôl diweddariad, anfonwch un cais o bod i wasanaeth ar y safle a darllenwch y ffynhonnell y mae'r cymar yn ei chofnodi. Mae'r un arsylwi hwnnw'n dal dirywiad y bydd tudalen statws y tiwb yn fodlon ei adrodd fel un iach. Mae ei ailadrodd yn costio munud ac yn arbed noson i'r person nesaf.