Pod IP, ClusterIP või sisemine koormusjaotur VPN-i kasutajatele
Pod IP on VPN-i kaudu marsruuditav seni, kuni Pod asendatakse. Võrrelge otsest Podi juurdepääsu, ClusterIP-i ja sisemist jaoturit ning seda, mida igaüks teile maksab.
VPC CNI-ga saab Pod võtta VPC-st aadressi ja õige marsruudiga VPN-i kasutaja pääseb sellele otse ligi. See teeb otsese Podi juurdepääsu kõige lihtsama valikuna tunduvaks ja seda see ongi, kuni Pod asendatakse. Aadress, mida kasutaja mäletab, peaks kuuluma rakendusele, mitte koopiale. Kolme sisenemispunkti võrdlemine taandub sellele, milline objekt aadressi omab ja mis peab töötama edasi siis, kui töökoormus liigub.
Valige kõigepealt elutsükli järgi, seejärel selle järgi, mida võrk peab tegema, et sisenemispunkt oleks kättesaadav.
Kolm sisenemispunkti, kolm elutsüklit
Pod IP-d omab Pod: see eraldatakse koos temaga ja vabastatakse, kui Pod lõpeb. ClusterIP-d omab Service ja see on virtuaalne, sellel on mõtet ainult seal, kus klasteri teenuste marsruutimine olemas on. Sisemist koormusjaoturit omab pilveressurss, mida klasteri kontroller programmeerib backendidega. Need omandimudelid ennustavad riket, mille te saate: aegunud aadress, kättesaamatu nimi või aegunud backendide komplekt.
Kirjutage võrdlus üles enne valimist. Kui omanik ja rike on nimetatud, teeb valik end tavaliselt ise.
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Otsene Podi juurdepääs: kasulik, ajutine
Otsene juurdepääs on kontrollitud kontrolliks tõeliselt kasulik: üks administraator, üks lühike sessioon, üks konkreetne port. Kasutajate jaoks on see aga halb leping, sest aadress on teostuse detail, mis muutub iga juurutamisega. Ja selle wikisse kirjutamine on viis, kuidas töötav teenus muutub kuulujutuks.
See kutsub esile ka laiad reeglid. Ühe administraatori luba ühele Podile ei ole luba iga aadressi jaoks sõlme alavõrgus ja tavaliselt kirjutatakse just teine.
ClusterIP: disaini järgi klastriga piiratud
ClusterIP töötab, sest klasteri andmetasand programmeerib selle jaoks marsruutimise klastri sees. VPN-is olevast sülearvutist ei tähenda aadress midagi, kui miski ei tee seda teadlikult nähtavaks. Nimega, mis lõpeb svc.cluster.local, kuulub klastri DNS-ile, seega selle kopeerimine teistsuguse resolveriga kliendile annab olematu nime, mitte marsruutimisvea.
ClusterIP jääb õigeks sisenemispunktiks klastrisisestele kutsujatele, sealhulgas teistele töökoormustele. See lihtsalt ei ole avaldamismehhanism kasutajatele väljaspool klastri marsruutimisdomeeni.
Sisemine koormusjaotur: avaldatud tee
Sisemine koormusjaotur annab teile stabiilse privaatse aadressi ja nime, millele teie oma tsoon saab osutada, samal ajal hoiab kontroller backendide komplekti ajakohasena, nagu kirjeldab EKS-i koormuse jaotamise juhend. See on sisenemispunkt, mis elab üle tavalise Podi asendamise ilma, et keegi dokumenti muudaks. See maksab pilveressursi, kontrolleri konfiguratsiooni ja VPN-ist tuleva marsruudi ning just neid osi alahinnatakse.
Kasutage kontrollerimudelit, mida klaster tegelikult kasutab. Ühe integratsiooni jaoks kirjutatud annotatsioonid ei kehti teise puhul.
Kes on allikaaadress
Turvagrupid näevad allikat, mis nende piirile saabub, ja see võib olenevalt VPN-i ja koormuse jaotamise teest olla ühendatud klient või teisendatud aadress. EC2-l põhinevatel sõlmedel pärivad tavalised VPC CNI Podid vaikimisi sõlme ENI grupid, samas kui toetatud konfiguratsioonid saavad lisada Podi-spetsiifilisi gruppe. Kirjutage reeglid dokumenteeritud tee jaoks, mitte oletatud sülearvuti aadressi jaoks.
Hoidke rakenduse enda kuulaja ja autentimine eraldi kontrollidena. Võrgu reegel, mis lubab voogu, ei ole autoriseerimisotsus ja seda ei tohiks sellena käsitleda.
Mida kasutajatele anda
Andke kasutajatele teenuse nimi, mitte aadress. Avaldage nimi privaatses tsoonis, osutage see sisemisele sisenemispunktile ja seejärel testige, asendades backend-Podi, samal ajal kui klient hoiab sama nime avatuna. See harjutus kontrollib omadust, mis loeb: jõuda sama rakenduseni pärast rutiinset juurutamist.
Hoidke otsest Podi juurdepääsu dokumenteeritud operatiivse erandina oma ulatusega, kasutajajuhenditest kaugel.