Pod, nodo edo klusterra: zer birbideratzen duen VPN sidecar batek benetan

Kubernetes Pod bateko VPN sidecar bat host mailako VPN bat dirudi, modu hobeekin, eta antzekotasuna namespacearen mugan amaitzen da. Pod bateko edukiontziek sare-namespacea partekatzen dute, helbide- eta portu-espazioa barne, beraz rutak eta politika instalatzen dituen sidecar batek benetan aldatzen du aplikazioaren paketeak norantz doazen. Nodoan dauden beste Pod-entzat ez du ezer aldatzen, eta ez dio nodoaren beraren staki ukitzen, hala konfiguratzen ez baduzu. Muga hori ondo ulertzeak erabakitzen du bai zer zabaldu dezakezun bai zer probatu behar duzun. Hurrengo atalek namespacearen barrutik kanporantz jarraitzen diote.

Namespace partekatua, ondorio partekatuak

Pod bateko bi edukiontzik loopback bidez hitz egiten dute eta interfaze berak ikusten dituzte, eta horregatik funtzionatzen du sidecar ereduak: aplikazioak ez du tunel bat badagoela jakin behar, ebazten duen ruta erabiltzen duen namespacean instalatu zelako. Propietate berak esan nahi du sidecarraren akatsak aplikazioaren akatsak direla. Gehiegi harrapatzen duen ruta batek, edo tunelaren barruko resolver batera bideratzen duen DNS aldaketak, berehala aplikatzen zaie Pod hartako prozesu guztiei. Namespace partekatu batean ez dago edukiontziko bideratzerik, beraz sidecar bat ezin da prozesu bakarrera mugatu.

Hau da berrikusketan gogoan hartzeko mekanismoa: eragin-erradioa Pod da, ez nodoa eta ez klusterra.

Sidecarrak non ez duen iristen

Beste Pod-ek beren namespaceak eta beren bideratzea mantentzen dituzte, beraz irteera bera behar duen karga-lanak sidecar bera edo, horren ordez, nodo mailako diseinua behar du. Nodoaren trafikoa ere Pod-en namespacetik kanpo dago, eta host sareko Pod-ek berariaz uzten dute isolamendu honetatik erabat. Sidecarra host sarearekin exekutatzen baduzu zerbait erosoa lortzeko, eremua Pod batetik nodo osora zabaldu duzu eta hori ozen esan beharko zenuke.

Klusterreko zerbitzuen trafikoa da beste ustekabe arrunta. Pod barruko lehenetsitako ruta zabal batek API zerbitzarirako edo ClusterIP zerbitzu baterako diren eskaerak harrapa ditzake, eta gero tunela hautsi balitz bezala huts egiten dute.

Ruta-plana: Pod, zerbitzu, nodo eta VPN barrutiak

Idatzi lau barrutiak eta egiaztatu gainjartzerik dagoen ezer zabaldu aurretik: Pod CIDR, zerbitzu CIDR, nodoaren helbideak eta VPNaren atzeko helmugak. VPNaren barruti pribatuen eta klusterraren espazio propioaren arteko gainjartzea ez da arraroa, eta lehenetsitako ruta soluzio okerra da horretarako. Ruta-plana manifestuaren biltegi berean egon behar da, hurrengo klusterrak Pod eta zerbitzu barruti guztiz desberdinak eman ditzakeelako.

DNS planaren parte da, eta ez kezka aparta. Resolverraren konfigurazioa berridazten duen sidecar batek kluster barruko zerbitzuen aurkikuntza hauts dezake, kanpoko bilaketek primeran funtzionatzen duten bitartean.

Abiaraztea eta hutsegitea egoera esplizituak dira

Martxan dagoen sidecar prozesu bat ez da irteera-politika bat. Erabaki zein trafiko igaro daitekeen tunela prest egon aurretik eta zer gertatzen den geroago hiltzen bada, eta gero ezarri erabaki hori: aplikazioaren edukiontzia pasatzen duen proba bat, lehenespenez ukatzen duen sare-politika bat, edo biak. Horietako bat gabe aplikazioa abiatu, ebatzi eta nodoaren ohiko bidetik bidaltzen du trafikoa, tunela oraindik konektatzen ari den bitartean.

Hutsune hori laburra da kluster osasuntsu batean eta iraunkorra hondatuta dagoenean, eta hain zuzen eraso-egile batek edo ustekabeko datu-ihes batek nahiago duen propietatea da.

Lotu ordena hutsegite-proba batekin. Hil sidecarra eta egiaztatu aplikazioak bere irteera aurreikusitakoa galtzen duela, isilpean atzera egin beharrean.

Gaitasunak, politikak eta probak aplikazioaren edukiontzitik

Interfazeak sortzeko eta rutak aldatzeko behar diren gaitasunak ematea pribilegio-erabakia da, eta Pod isolatu baterako egokia den pribilegioa ez da automatikoki egokia nodoaren stakan. Erabili klusterrak onartzen dituen sare- eta segurtasun-politiken mekanismoak, eta ez pentsa CNI edo politika inplementazio bakoitzak VPN interfazea modu berean tratatzen duenik; desberdintasunak zure kezka diren hutsegite-kasuetan agertzen dira hain zuzen.

Probatu aplikazioaren benetako edukiontzitik, helmuga pribatu batera, klusterreko zerbitzu batera eta internet publikora eskaera berriekin. Sidecarretik egindako probak tunela funtzionatzen duela frogatzen du, ez aplikazioak behar duena lortzen duenik.

Dokumentatu klusterraren sare-hipotesiak VPNaren konfigurazioaren ondoan. Karga-lana beste kluster batera eramatea ruta-plana egiaztatzeko ariketa da orduan, isilpean funtzionatzeari uzten dion irudi-aldaketa bat izan beharrean.