Pod, nod neu glwstwr: beth mae sidecar VPN yn ei ailgyfeirio mewn gwirionedd

Mae sidecar VPN mewn Pod Kubernetes yn edrych fel VPN ar lefel westeiwr â moesau gwell, ac mae'r tebygrwydd yn gorffen ar ffin y gofod enwau. Mae cynwysyddion mewn un Pod yn rhannu gofod enwau'r rhwydwaith, gan gynnwys gofod cyfeiriadau a phorthladdoedd, felly mae sidecar sy'n gosod llwybrau a pholisi yn newid yn wir i ble mae pecynnau'r cymhwysiad yn mynd. Nid yw'n newid dim i'r Podau eraill ar y nod, ac nid yw'n cyffwrdd â stac y nod ei hun oni bai eich bod yn ei ffurfweddu felly. Mae cael y ffin honno'n iawn yn penderfynu'r hyn y gallwch ei osod a'r hyn y mae'n rhaid i chi ei brofi. Mae'r adrannau isod yn ei ddilyn o'r gofod enwau tuag allan.

Gofod enwau a rennir, canlyniadau a rennir

Mae dau gynwysydd mewn Pod yn siarad dros loopback ac yn gweld yr un rhyngwynebau, a dyna pam mae patrwm y sidecar yn gweithio o gwbl: nid oes angen i'r cymhwysiad wybod bod twnnel yn bodoli, oherwydd gosodwyd y llwybr y mae'n ei ddatrys yn y gofod enwau y mae'n ei ddefnyddio. Mae'r un briodwedd yn golygu mai camgymeriadau'r sidecar yw camgymeriadau'r cymhwysiad. Mae llwybr sy'n dal gormod, neu newid DNS sy'n pwyntio at ddatryswr y tu mewn i'r twnnel, yn berthnasol ar unwaith i bob proses yn y Pod hwnnw. Nid oes llwybro fesul cynhwysydd mewn gofod enwau a rennir, felly ni ellir cyfyngu sidecar i un broses.

Dyma'r mecanwaith i'w gadw mewn cof wrth adolygu: y radiws effaith yw'r Pod, nid y nod ac nid y clwstwr.

Yr hyn nad yw'r sidecar yn ei gyrraedd

Mae Podau eraill yn cadw eu gofodau enwau a'u llwybro eu hunain, felly mae llwyth gwaith sydd angen yr un allanfa angen yr un sidecar neu ddyluniad ar lefel nod yn lle hynny. Mae traffig y nod hefyd y tu allan i ofod enwau'r Pod, ac mae Podau â rhwydwaith westeiwr yn dewis yn fwriadol beidio ag ymwneud â'r ynysu hwn o gwbl. Os rhedewch y sidecar â rhwydweithio westeiwr i gyrraedd rhywbeth cyfleus, rydych wedi ehangu'r cwmpas o un Pod i'r nod cyfan a dylech ddweud hynny'n uchel.

Traffig gwasanaethau'r clwstwr yw'r syndod cyffredin arall. Gall llwybr diofyn eang y tu mewn i'r Pod ddal ceisiadau a fwriadwyd ar gyfer gweinydd API neu wasanaeth ClusterIP, ac maent wedyn yn methu mewn ffyrdd sy'n edrych fel bod y twnnel wedi torri.

Cynllun llwybrau: amrediadau Pod, gwasanaeth, nod a VPN

Ysgrifennwch y pedwar amrediad a'u gwirio am orgyffwrdd cyn gosod unrhyw beth: CIDR y Pod, CIDR y gwasanaeth, cyfeiriadau'r nod, a'r cyrchfannau y tu ôl i'r VPN. Nid yw gorgyffwrdd rhwng amrediadau preifat y VPN a gofod y clwstwr ei hun yn brin, a llwybr diofyn yw'r ateb anghywir ar ei gyfer. Mae'r cynllun llwybrau yn perthyn i'r un storfa â'r maniffest, oherwydd gall y clwstwr nesaf roi amrediadau Pod a gwasanaeth hollol wahanol.

Mae DNS yn rhan o'r cynllun yn hytrach na phryder ar wahân. Gall sidecar sy'n ailysgrifennu'r ffurfweddiad datryswr dorri darganfod gwasanaethau y tu mewn i'r clwstwr tra'n gwneud chwiliadau allanol yn gweithio'n berffaith.

Mae cychwyn a methiant yn gyflwr penodol

Nid yw proses sidecar sy'n rhedeg yn bolisi allanfa. Penderfynwch ba draffig a ganiateir cyn i'r twnnel fod yn barod a beth sy'n digwydd os yw'n marw wedyn, yna gweithredwch y penderfyniad hwnnw: prawf sy'n giât i gynhwysydd y cymhwysiad, polisi rhwydwaith sy'n gwrthod yn ddiofyn, neu'r ddau. Heb un o'r rheini, mae'r cymhwysiad yn cychwyn, yn datrys ac yn anfon traffig allan o lwybr arferol y nod tra bod y twnnel yn dal i gysylltu.

Mae'r bwlch hwnnw'n fyr mewn clwstwr iach ac yn barhaol mewn un wedi torri, a dyna'n union y briodwedd y mae ymosodwr neu ollwng data damweiniol yn ei ffafrio.

Pârwch y trefniant â phrawf methiant. Lladdwch y sidecar a chadarnhau bod y cymhwysiad yn colli ei allanfa arfaethedig yn hytrach na chilio'n dawel.

Galluoedd, polisïau a phrofi o gynhwysydd yr ap

Mae caniatáu'r galluoedd sydd eu hangen i greu rhyngwynebau a newid llwybrau yn benderfyniad braint, ac nid yw braint sy'n briodol ar gyfer Pod ynysig yn briodol yn awtomatig ar stac y nod. Defnyddiwch fecanweithiau polisi rhwydwaith a diogelwch y clwstwr, ac na chymerwch yn ganiataol fod pob gweithrediad CNI neu bolisi'n trin rhyngwyneb VPN yn union yr un fath; mae'r gwahaniaethau'n ymddangos yn union yn yr achosion methiant sy'n bwysig i chi.

Profwch o gynhwysydd gwirioneddol y cymhwysiad, gyda cheisiadau newydd i gyrchfan breifat, gwasanaeth clwstwr a'r rhyngrwyd gyhoeddus. Mae prawf o'r sidecar yn profi bod y twnnel yn gweithio, nid bod y cymhwysiad yn cyrraedd yr hyn sydd ei angen arno.

Dogfennwch ragdybiaethau rhwydwaith y clwstwr wrth ymyl ffurfweddiad y VPN. Yna mae symud y llwyth gwaith i glwstwr arall yn ymarferiad o wirio'r cynllun llwybrau yn hytrach na newid image sy'n stopio gweithio'n dawel.