VPN Pod Kubernetes neu borth allanfa: pwy sy’n berchen ar y tiwnel?

Rydych yn defnyddio Pod o’r enw vpn-gateway, yn pwyntio cleient prawf at ei gyfeiriad, ac yn gwylio’r pecynnau’n diflannu. Nid oes dim o’i le yn y maniffest ac nid oes gan y kubelet unrhyw gŵyn. Mae’r rheswm yn strwythurol yn hytrach nag yn gyfluniadol: mae Kubernetes yn rhoi gofod enw rhwydwaith ei hun i bob Pod, felly nid yw enw, label, nac ofod enw API a rennir yn newid dim o ran i ble y mae pecynnau’n mynd. Felly mae penderfynu sut y mae traffig VPN yn gadael y clwstwr yn dechrau gyda chwestiwn am berchnogaeth, nid am ddelweddau cynwysyddion.

Mae dau fecanwaith yn cwmpasu’r rhan fwyaf o ddefnyddiadau go iawn, ac nid ydynt yn gyfnewidiol. Mae un yn rhoi’r tiwnel y tu mewn i ofod enw rhwydwaith y llwyth gwaith ei hun. Mae’r llall yn gofyn i’r CNI lywio traffig dethol trwy nod porth dynodedig. Maent yn methu’n wahanol, yn graddio’n wahanol, ac yn ateb i dimau gwahanol, a dyna pam y mae’r cwestiwn cynwysyddion yn tueddu i gynhyrchu dadleuon na chânt eu datrys byth.

Ffin Pod yw gofod enw, nid gwesteiwr naid

Mae gofod enw rhwydwaith Linux yn berchen ar ei ryngwynebau, cyfeiriadau, llwybrau a rheolau tân, ac mae pob Pod yn cael un. Mae cynwysyddion o fewn y Pod hwnnw’n ymuno ag ef, a dyna’n union pam y gall cynhwysydd cynorthwyol ailysgrifennu llwybrau y mae’r cymhwysiad wedyn yn eu dilyn. Mae gan Pod cyfagos stac sy’n edrych yn union yr un fath ond sy’n gwbl ar wahân. Nid oes tabl a rennir i Bod porth ei etifeddu, ac nid oes trosglwyddiad ymhlyg o draffig o un gofod enw i’r llall.

Dyna hefyd pam mai dim ond pan fydd rhywbeth i fyny’r afon yn anfon pecynnau ato y mae patrwm y Pod porth yn gweithio: Service, llwybr statig ar y nod, neu bolisi llywio yn y CNI. Nid yw cyfeiriad ar ei ben ei hun yn denu dim.

Beth mae tiwnel fesul Pod yn ei brynu, a beth y mae’n ei gostio

Mae tiwnel sy’n rhedeg yng ngofod enw’r llwyth gwaith yn rhoi hunaniaeth cleient ei hun i’r llwyth gwaith hwnnw, y mae llawer o wasanaethau mynediad o bell yn ei gwneud yn ofynnol cyn awdurdodi neu gyfrif sesiwn. Mae radiws y difrod yn aros yn lleol hefyd: mae tiwnel wedi torri yn dileu un Deployment yn lle’r llwybr a rennir a ddefnyddir gan bopeth. Mae sut y mae’n rhedeg yn dibynnu ar y gweithrediad, a dyma lle mae pobl yn dyfalu’n anghywir.

Gall gosodiad sydd ond angen cyflwr cnewyllyn orffen mewn cynhwysydd init ac ymadael. Mae daemon gofod defnyddiwr sy’n rhaid iddo aros yn fyw am oes y Pod angen y ffurf cynhwysydd init ailgychwynnol a gyflwynwyd fel ochr-gynhwysydd brodorol yn Kubernetes 1.29, ac mae’r gwahaniaeth hwnnw’n dod o weithrediad y tiwnel yn hytrach nag o chwaeth. Cost y model hwn yw dyblygu: mae pob replica yn dilysu, yn derbyn ei gyfeiriad tiwnel ei hun, ac yn defnyddio slot sesiwn o bell, felly mae digwyddiad awto-raddio yn dod yn ddigwyddiad capasiti ar ochr arall y cyswllt. Nid yw copïo un cymhwyster i bob replica yn dileu’r gost honno, mae’n dileu’r trywydd archwilio. Mae galluoedd yn haeddu’r un archwiliad, oherwydd nid oes gan diwnel sydd eisiau NET_ADMIN yn ei ofod enw ei hun reswm i etifeddu awdurdod y gwesteiwr cyfan o esiampl privileged: true.

Pan fydd y CNI yn berchen ar yr allanfa

Os yw’r CNI yn ei gefnogi, mae porth allanfa yn dethol traffig yn ôl llwyth gwaith ac ystod cyrchfan, ac yna’n ei anfon trwy nodau dethol o dan un cyfeiriad ffynhonnell rhagweladwy. Fersiwn Cilium yw’r cyfeirnod cyffredin, ac mae ei ddogfennaeth yn glir bod angen cyfluniad Cilium penodol ar y nodwedd ynghyd â nodau porth wedi’u darparu gyda’r rhyngwynebau a’r cyfeiriadau cywir. Mae hefyd yn nodi cyfnod cychwynnol ar ôl creu Pod pan nad yw llywio’n cael ei orfodi eto, sy’n fewnbwn dylunio yn hytrach nag yn droednodyn.

Darllenwch yr oedi hwnnw yn erbyn eich addewid eich hun. Os yw’r rheol yn un na chaiff unrhyw draffig adael trwy lwybr arall, mae Pod newydd sy’n trosglwyddo yn ystod y bwlch eisoes wedi ei thorri, felly mae ar y dilyniant cychwyn angen ateb ei hun: dal y cymhwysiad nes bod y polisi’n gymwys, neu dderbyn y ffenestr a’i dogfennu.

Cadwch yr honiad yn gul. Mae porth allanfa yn dewis ac yn cyfieithu llwybr. Nid yw’n terfynu VPN, ac nid yw’n troi’r clwstwr yn gleient o’ch rhwydwaith o bell heb gysylltiad â chefnogaeth y tu ôl iddo.

Mae cyfieithu yn newid yn dawel yr hyn a wel y ochr bell

Unwaith y bydd y borth yn ailysgrifennu’r ffynhonnell, mae cyfeiriadau fesul Pod wedi mynd, felly mae rhestr caniatáu wedi’i seilio ar hunaniaeth yn dod yn rhestr wedi’i seilio ar un cyfeiriad a rennir. Masnach yw hyn yn hytrach na diffyg: llai o reolau i’w cynnal, priodoliad mwy garw pan fydd rhywbeth yn camymddwyn.

Mae dilysu ar lefel cymhwysiad a chofnodi ceisiadau yn gorfod cario’r hyn nad yw’r rhwydwaith yn ei adrodd mwyach. Triniwch gapasiti a disodli’r borth fel seilwaith a rennir, oherwydd mae ailgychwyn un nod bellach yn tarfu ar bob llwyth gwaith y tu ôl iddo, a gwirio’r llwybr dychwelyd yn gynnar: rhaid i’r pen pell wybod sut i gyrraedd y cyfeiriad cyfieithiedig, fel rheol trwy lwybr neu NAT y mae’n rhaid i berson, nid maniffest, fod yn berchen arno. Mae cynllunio cyfeiriadau yn perthyn yma hefyd, gan fod ystodau clwstwr a phell sy’n gorgyffwrdd yn torri’r naill fodel a’r llall ac nid yw mabwysiadu IPv6 yn esgus dros gynllun gwrthgyferbyniol.

Penderfynwch yn ôl perchnogaeth, yna profwch y methiant a addawyd

Dewiswch y tiwnel fesul Pod pan fydd y gwasanaeth pell yn dilysu llwythi gwaith unigol, pan mai dim ond ychydig o Deploymentau sydd angen y cyswllt, a phan ddylai methiant aros yn lleol. Dewiswch y borth pan fydd tîm rhwydwaith eisoes yn berchen ar y llwybr, pan fydd llawer o lwythi gwaith yn rhannu un gyrchfan, a phan mai cyfeiriad ffynhonnell sefydlog yw pwynt cyfan yr ymarfer.

Un ffordd neu’r llall, gwiriwch yr eiddo a werthoch yn hytrach na’r cyflwr sefydlog. Crëwch Pod, gadewch iddo drosglwyddo ar unwaith, a gwyliwch yr eiliadau cyntaf os mai’r addewid oedd nad oes dim yn dianc o’r tiwnel. Graddiwch i bump replica a chyfrifwch y sesiynau y mae’r pen pell yn eu hadrodd os mai’r addewid oedd hunaniaeth fesul llwyth gwaith. Mae’r ddau wiriad hynny’n datgelu terfynau’r mecanwaith yn llawer cynt nag adolygiad o’r maniffest, ac maent yn dweud wrthych pa dîm sy’n berchen ar y digwyddiad nesaf.