Pod IP, ClusterIP of in ynterne loadbalancer foar VPN-brûkers
In Pod IP is oer de VPN berikber oant de Pod ferfongen wurdt. Fergelykje direkte Pod-tagong, ClusterIP en in ynterne loadbalancer, en wat elk fan dy jo kostet.
Mei de VPC CNI kin in Pod in adres út de VPC hawwe, en in VPN-brûker mei de juste rûte kin it direkt berikke. Dat lit direkte Pod-tagong as de ienfâldichste opsje lykje, en dat is it, oant de Pod ferfongen wurdt. It adres dat in brûker betinkt, heart by de applikaasje, net by in replika. It fergelykjen fan de trije yngongen komt del op hokker objekt it adres besit en wat wurkjen bliuwe moat as de workload ferpleatst.
Kies earst op libbencyclus, dan op wat it netwurk dwaan moat om de yngong berikber te meitsjen.
Trije yngongen, trije libbencycli
Pod IP wurdt besit troch in Pod: it wurdt mei him tawiisd en frijlitten as er einiget. ClusterIP wurdt besit troch in Service en is virtueel, it hat allinnich betsjutting dêr’t de tsjinst-routing fan it cluster bestiet. In ynterne loadbalancer wurdt besit troch in cloudboarne dy’t de controller fan it cluster mei backends programmeart. Dy eigenerskipsmodellen foarsizze de flater dy’t jo krije: in ferâldere adres, in net-berikbere namme of in ferâldere set backends.
Skriuw de fergeliking op foardat jo kieze. As de eigner en de flater neamd binne, makket de kar himsels meastentiids.
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Direkte Pod-tagong: brûkber, tydlik
Direkte tagong is echt brûkber foar in kontrolearre kontrôle: ien behearder, ien koarte sesje, ien spesifyk poarte. Mar it is in min kontrakt foar brûkers, want it adres is in ymplemintaasjedetail dat by elke útrol feroaret. En ien dêrfan yn in wiki fêstlizze is de manier wêrop in tsjinst dy’t wurket in geroft wurdt.
It noeget ek brede regels út. Tastimming foar ien behearder om ien Pod te berikken is gjin tastimming foar elk adres yn it subnet fan ’e node, en it twadde is wat meastentiids skreaun wurdt.
ClusterIP: by ûntwerp beheind ta it cluster
In ClusterIP wurket om’t it dataplane fan it cluster de routing foar him binnen it cluster programmeart. Fan in laptop op ’e VPN betsjut it adres neat, útsein as eat it bewust bleatleit. In namme dy’t einiget op svc.cluster.local heart by de DNS fan it cluster, dus it kopiearjen nei in klant mei in oare resolver jout in namme dy’t net bestiet yn stee fan in routingflater.
ClusterIP bliuwt de juste yngong foar oproppen fan binnen it cluster, ynklusyf oare workloads. It is gewoan gjin publikaasjemeganisme foar brûkers bûten it routingdomein fan it cluster.
Ynterne loadbalancer: it publisearre paad
In ynterne loadbalancer jout jo in stabile privee-adres en in namme dêr’t jo eigen sône nei wize kin, wylst de controller de set backends aktueel hâldt, sa’t de EKS-riglynders foar loadbalancing beskriuwt. Dat is de yngong dy’t in gewoane Pod-ferfanging oerlibbet sûnder dat immen in dokumint bewurket. It kostet in cloudboarne, in controllerkonfiguraasje en in rûte fan ’e VPN, en dat binne de dielen dy’t minsken ûnderskatte.
Brûk it controllermodel dat it cluster echt draait. Annotaasjes skreaun foar ien yntegraasje jilde net foar in oare.
Wa’t it boarne-adres is
Feiligheidsgroepen sjogge de boarne dy’t by har grins oankomt, en dat kin de ferbûne klant wêze of in oerset adres, ôfhinklik fan it VPN- en loadbalancingpaad. Op nodes op basis fan EC2 ervje gewoane VPC CNI Pods standert de groepen fan ’e ENI fan ’e node, wylst stipe konfiguraasjes Pod-spesifike groepen heakje kinne. Skriuw regels foar it dokumintearre paad yn stee fan foar in ret laptopadres.
Hâld de eigen listener en autentikaasje fan ’e applikaasje as aparte kontrôles. In netwurkregel dy’t de stream tastiet is gjin autorisaasjebeslút en moat net as sadanich behannele wurde.
Wat jo brûkers jaan moatte
Jou brûkers in tsjinstnamme, gjin adres. Publisearje de namme yn ’e privee sône, wize dy nei de ynterne yngong, en test dan troch in backend-Pod te ferfangen wylst in klant deselde namme iepen hâldt. Dy oefening testet de eigenskip dy’t fan belang is: deselde applikaasje berikke nei in gewoane útrôl.
Hâld direkte Pod-tagong as in dokumintearre operasjonele útsûndering mei syn eigen berik, fier fan ’e ynstruksjes foar brûkers.