Chaill podanna GKE rochtain VPN tar éis 1.14: dhá bhealach chun an fhoinse a shocrú

Tagann nuashonrú, agus tosaíonn córais ar an taobh eile den tollán ag diúltú trácht podanna a d'oibrigh an tseachtain roimhe. Tá an tollán suas, tá rialacha an bhalla dóiteáin gan teagmháil, agus níor chuir aon duine polasaí an phiar in eagar. Tá an rud a d'athraigh dofheicthe i logaí an chnuasaigh: an seoladh foinse a fheiceann na córais sin anois. Míníonn an bhearna sin locht a bhfuil cuma an tsreatha líonra air agus a iompraíonn mar fhadhb ceada.

Tá dhá fhreagra bhailí ann, agus tugann siad áiteanna éagsúla duit. Roghnaigh conradh na foinse sula gcuireann tú ConfigMap in eagar.

An riail réamhshocraithe ar stopadh á suiteáil

D'ordaigh eisiúintí níos luaithe de GKE riail masquerade a thagann in ionad fhoinsí podanna le seoladh an nóid gach uair a bhí an ceann scríbe lasmuigh de 10.0.0.0/8. Chonaic geata VPN laistigh den raon sin seoladh an phod, agus bhí cuma ar gach rud níos faide amach gur ón nód a tháinig sé. Thóg piaraí liostaí ceada agus bealaí fillte timpeall ar sheoltaí nód mar gurb é sin a bhreathnaigh siad.

Stop eisiúintí níos déanaí ag suiteáil na riail réamhshocraithe sin. Sroicheann trácht podanna an geata anois le seoltaí pod, cibé ceann scríbe atá ann. Caitheann piara nach ndéanann ródú ach ar sheoltaí nód na freagraí amach, agus ní scríobhann ceachtar taobh iontráil loga úsáideach. Féadfaidh an t-iarratas fiú éirí as an taobh i bhfad amach, agus sin a dhéanann an locht mearbhall a leanúint.

Níl aon rud briste i gciall comhpháirt mharbh. Níl na dhá thaobh ach easaontach faoi cén fhoinse atá dlisteanach.

Roghnaigh an fhoinse ba chóir don phiar a fheiceáil

Is é seoltaí pod a choinneáil an conradh is cruinne. Feiceann an taobh i bhfad amach an t-ualach oibre a tháirg an trácht, fanann na logaí macánta, agus éiríonn polasaí in aghaidh an phod indéanta. Is é an praghas ná go gcaithfidh an piar réimír na bpod a iompar.

Is é seoltaí nód a choinneáil an conradh is saoire. Cuir masquerade ar ais ar siúl don cheann scríbe sin agus leanfaidh an piar ag feiceáil seoladh a bhfuil muinín aige as cheana.

Cinneann ceist amháin idir iad: cad a dhéanann an piar leis an bhfoinse? Má dhéanann sé logáil, má chuireann sé polasaí in aghaidh na foinse i bhfeidhm nó má fhorchuireann sé ródú fillte cúng, tugann seoltaí pod údar leis an gcumraíocht bhreise. Mura gá dó ach freagraí a sheoladh, cosnaíonn masquerade níos lú agus ní iarrann sé aon rud ar an taobh eile. Tá ceachtar rogha inchosanta fad a scríobhann an dá fhoireann síos é.

Is botún a bhíonn sa tríú rogha de ghnáth: masquerade ar gach rud agus an cumas trácht a shannadh a chailleadh. Seachain é mura féidir le piar i ndáiríre aon rud a ródú ach seoltaí nód.

Dírigh nonMasqueradeCIDRs ar na fíor-raonta

Ritheann GKE an ip-masq-agent i kube-system, agus liostaíonn a ConfigMap na cinn scríbe a sheachnaíonn masquerade. Chun foinsí podanna a chaomhnú i dtreo an tolláin, baineann raon na bpod, fo-líonra an nóid agus an réimír áitiúil uile leis an liosta sin.

Cuir raonta ó do chnuasach féin in ionad na samplaí. Ná déan an liosta níos leithne ná mar a éilíonn an riachtanas, mar athraíonn gach iontráil bhreise an rud a fheiceann ceann scríbe éigin eile. Seasann na trí iontráil thíos do líonra na bpod, fo-líonra an nóid agus an réimír taobh thiar den tollán:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

Díghníomhachtaíonn iontráil 0.0.0.0/0 masquerade do gach ceann scríbe, rud a athraíonn an chaoi a bhfeictear ualaí oibre neamhghaolmhara do sheirbhísí seachtracha agus is annamh a bhíonn sé d'aon ghnó. Léann an gníomhaire a chumraíocht arís ar resyncInterval, mar sin ní gá athluchtú de ghnáth. Seiceáil go bhfuil pod an ghníomhaire ag rith, ansin oscail an comhad feistithe taobh istigh de. Is é léamh an chomhaid sin a chruthaíonn gur shroich an t-athrú.

Is é an cosán freagartha an leath eile

Athraíonn masquerade foinse an iarratais agus faic eile. Cibé foinse a fhaigheann an piar, teastaíonn bealach ar ais chuici uaidh fós, agus teastaíonn bealach ón gcnuasach i dtreo an phiar fós.

Dealaíonn gabháil ar an ngeata VPN an dá locht go tapa. Ciallaíonn paicéid a thagann le seoltaí pod agus nach bhfaigheann freagra riamh nach bhfuil bealach ag an bpiar le haghaidh réimír na bpod. Ciallaíonn freagra a thagann chun solais ar an ngeata ach nach sroicheann an cnuasach riamh go bhfuil an bealach áitiúil ar iarraidh. Scríobh an conradh sa ticéad cibé acu: cén fhoinse a fheiceann an piar, agus cén réimír a ródaíonn sé ar ais.

Seiceáil arís tar éis gach nuashonraithe

Tá iompar réamhshocraithe masquerade athraithe uair amháin cheana, agus féadann athsholáthar linn nód líonra an chnuasaigh a athshocrú. Caith le conradh na foinse mar rud le fíorú seachas rud le glacadh mar ghnáthrud.

Tar éis nuashonraithe, seol iarratas amháin ó phod chuig seirbhís áitiúil agus léigh an fhoinse a logálann an piar. Gabhann an breathnú amháin sin aischéimniú a thuairisceodh leathanach stádais an tolláin go sásta mar cheann sláintiúil. Cosnaíonn a athdhéanamh nóiméad amháin agus sábhálann sé tráthnóna don chéad duine eile.