GKEren podek VPN sarbidea galdu zuten 1.14ren ondoren: iturria konpontzeko bi bide

1.14ren ondoren podek VPNra beren helbideekin iristen dira, beraz pareek erantzunak baztertzen dituzte. Aukeratu iturri-kontratua eta gero egokitu nonMasqueradeCIDRs.

Eguneraketa bat iristen da, eta tunelaren beste aldeko sistemek aurreko astean funtzionatzen zuen pod trafikoa ukatzen hasten dira. Tunela martxan dago, suebakiko arauak ukitu gabe daude, eta inork ez du parearen politika editatu. Aldatu dena ikusezina da klusterreko erregistroetan: sistema horiek orain ikusten duten iturri-helbidea. Hutsune horrek sare-erorketa dirudien eta baimen-arazo gisa jokatzen duen hutsegitea azaltzen du.

Bi erantzun baliozko daude, eta leku desberdinetara eramaten zaituzte. Aukeratu iturri-kontratua ConfigMap bat editatu aurretik.

Instalatzeari utzi zitzaion arau lehenetsia

GKEren bertsio zaharrek masquerade arau bat instalatzen zuten, poden iturriak nodoaren helbidearekin ordezkatzen zituena, helburua 10.0.0.0/8ren kanpoan zegoen bakoitzean. Barruti horren barruko VPN ataka batek podaren helbidea ikusten zuen, eta urrunago zegoen edozer nodotik zetorrela zirudien. Pareek baimenduen zerrendak eta itzulera-bideak eraiki zituzten nodoen helbideen inguruan, hori zelako behatzen zutena.

Beranduagoko bertsioek utzi zioten arau lehenetsi hori instalatzeari. Pod trafikoa orain atakara iristen da poden helbideekin, helburua edozein dela ere. Nodoen helbideak soilik bideratzen dituen pare batek erantzunak baztertzen ditu, eta inork ez du erregistroan sarrera erabilgarririk idazten. Eskaerak urruneko muturrean arrakasta izan dezake, eta horrek egiten du hutsegitea jarraitzeko nahasia.

Ezer ez dago hondatuta osagai hil baten zentzuan. Bi aldeek ez dute ados jartzen zein iturri den zilegi.

Aukeratu pareak ikusi behar duen iturria

Poden helbideak mantentzea da kontraturik zehatzena. Urruneko aldeak trafikoa sortu zuen karga-lana ikusten du, erregistroak zintzo mantentzen dira, eta pod bakoitzeko politika posible bihurtzen da. Prezioa da pareak poden aurrizkia eraman behar duela.

Nodoen helbideak mantentzea da kontraturik merkeena. Piztu berriro maskaratzea helburu horretarako, eta pareak jada fidatzen den helbide bat ikusten jarraituko du.

Galdera batek erabakitzen du bien artean: zer egiten du pareak iturriarekin? Erregistratzen badu, iturri bakoitzeko politika aplikatzen badu edo itzulera-bideratze estua behartzen badu, poden helbideek aparteko konfigurazioa justifikatzen dute. Erantzunak bidali behar baditu soilik, maskaratzeak gutxiago balio du eta ez dio ezer eskatzen beste aldeari. Edozein aukera defenda daiteke, bi taldeek idatzita uzten badute.

Hirugarren aukera okerra izaten da normalean: dena maskaratzea eta trafikoa egiaztatzeko gaitasuna galtzea. Saihestu, pare batek benetan nodoen helbideak ez den ezer bideratu ezin badu.

Zuzendu nonMasqueradeCIDRs benetako barrutietara

GKEk ip-masq-agent exekutatzen du kube-systemen, eta haren ConfigMapek maskaratzea saltatzen duten helburuak zerrendatzen ditu. Poden iturriak tunelera begira gordetzeko, poden barrutia, nodoen azpisarea eta tokiko aurrizkia guztiak zerrenda horretan sartzen dira.

Ordeztu adibide-balioak zure klusterreko barrutiekin. Ez egin zerrenda beharrak agintzen duena baino zabalagoa, sarrera gehigarri bakoitzak beste helburu batek ikusten duena aldatzen baitu. Beheko hiru sarrerek poden sarea, nodoen azpisarea eta tunelaren atzeko aurrizkia adierazten dituzte:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

0.0.0.0/0 sarrera batek maskaratzea desgaitzen du helburu guztietarako, eta horrek erlaziorik gabeko karga-lanak kanpoko zerbitzuen aurrean nola agertzen diren aldatzen du, eta gutxitan da nahita egina. Agenteak resyncInterval-ean irakurtzen du berriro bere konfigurazioa, beraz berrabiaraztea ez da normalean beharrezkoa. Egiaztatu agentearen poda martxan dagoela, eta gero ireki haren barruko muntatutako fitxategia. Fitxategi hori irakurtzeak frogatzen du aldaketa iritsi dela.

Erantzun-bidea da beste erdia

Maskaratzeak eskaeraren iturria aldatzen du eta besterik ez. Pareak jasotzen duen iturria edozein dela ere, itzultzeko bide bat behar du oraindik, eta klusterrak parearen alderako bide bat behar du oraindik.

VPN atakan egindako kaptura batek bi hutsegiteak azkar bereizten ditu. Poden helbideekin iristen diren eta inoiz erantzunik jasotzen ez duten paketeek esan nahi dute pareak ez duela biderik poden aurrizkirako. Atakan agertu baina klusterrera inoiz iristen ez den erantzun batek esan nahi du tokiko bidea falta dela. Idatzi kontratua tikian edonola ere: zein iturri ikusten duen pareak, eta zein aurrizkitara bideratzen duen erantzuna.

Egiaztatu berriro eguneraketa bakoitzaren ondoren

Maskaratzearen portaera lehenetsia behin aldatu da jada, eta nodoen igerileku baten ordezkapenak klusterreko sarea berrezar dezake. Hartu iturri-kontratua egiaztatzeko gauza gisa, ez suposatzeko gauza gisa.

Eguneraketa baten ondoren, bidali eskaera bat pod batetik tokiko zerbitzu batera eta irakurri pareak erregistratzen duen iturria. Behaketa bakar horrek tuneleko egoera-orrialde batek pozik osasuntsu gisa jakinaraziko lukeen erregresio bat harrapatzen du. Errepikatzeak minutu bat balio du eta hurrengo pertsonari arratsalde bat aurrezten dio.

Erlazionatutako artikuluak