Ní féidir le kubectl API na braisle príobháidí a réiteach thar OpenVPN

Teipeann ar kubectl ag cuardach ainm agus an tollán suas agus freagraíonn seoladh príobháideach an API fós do ping. Tá an bealach ceart; tá an cliant ag fiafraí de réiteoir nár chuala riamh faoi chrios príobháideach na braisle. Úsáidtear dhá réiteach is minice: réiteoir an líonra fhíorúil a bhrú chuig gach cliant VPN, nó an t-ainm a phionnáil go háitiúil le hiontráil hosts nó le seoltóir coinníollach. Réitíonn siad an tsiomptóm chéanna le húinéireacht éagsúil, agus is é meascadh an dá rud an chaoi a gcríochnaíonn foirne ag cur eagarthóireachta ar chomhaid hosts gach uair a atógáiltear deireadh.

Teipeann réiteach agus inrochtaineacht ag sraitheanna éagsúla

Déan an cuardach féin sula n-athraíonn tú rud ar bith. Insíonn getent hosts ar Linux nó nslookup ar Windows duit an bhfaigheann an cliant freagra ar chor ar bith; cuireann amscaíocht nó NXDOMAIN in iúl don réiteoir, agus cuireann freagra leis an seoladh mícheart in iúl do thaifead sean nó do thit phoiblí.

Ansin deimhnigh cén freastalaí a dhiaileann kubectl i ndáiríre. Stórálann comhthéacs kubeconfig URL, agus ní athscríobhann bealach VPN é: má ainmníonn an comhthéacs deireadh poiblí, féadfaidh DNS a bheith foirfe agus teipeann ar an ordú fós.

getent hosts api.internal.example
kubectl config view --minify -o jsonpath='{.clusters[0].cluster.server}'
kubectl -v=8 get nodes 2>&1 | head -40

Is é an tríú comhartha cruth na teipe tar éis an chuardaigh. Ainm a réitítear chuig an seoladh príobháideach agus a leanann amscaíocht TCP is fadhb balla dóiteáin nó líonra údaraithe í. Ciallaíonn ainm a réitítear chuig seoladh poiblí gur éalaigh an cheist as an gcrios príobháideach. Coinnigh na trí thoradh sin scartha; seolann gach ceann chuig úinéir difriúil thú.

Rogha A: réiteoir an líonra fhíorúil a bhrú isteach sa tollán

Nuair a ritheann freastalaí an VPN taobh istigh den líonra fíorúil, is féidir le cliaint an réiteoir céanna a úsáid agus a úsáideann óstach an fhreastalaí. In OpenVPN Community brúnn an freastalaí rogha DNS; taispeánann Access Server an socrú céanna sa chomhéadan riaracháin, agus caithfidh cliaint an phróifíl a íoslódáil arís mar go dtaistealaíonn an treoir DNS istigh inti.

# server.conf
push "dhcp-option DNS 10.0.0.4"
push "route 10.0.0.4 255.255.255.255"

Tá an líne bealaigh tábhachtach ar phróifílí tolláin scoilte. Ní hionann seoladh réiteora a bhrú agus é a dhéanamh inrochtana: mura dtéann ach fo-líonra na braisle tríd an tollán, fhágann an cheist chuig 10.0.0.4 an LAN áitiúil agus faigheann sí bás. Brúigh bealach óstaigh don réiteoir, nó cuir a fho-líonra sa tollán.

Tá polasaí ag an taobh glactha freisin. Féadann réiteoir atá inrochtana ó raon seoladh an chliaint ceisteanna uaidh a dhiúltú fós, agus ní fhreagraíonn crios príobháideach atá nasctha leis an líonra fíorúil ach do chliaint a thagann trí chonair DNS an líonra sin. Má théann an cuardach in amscaíocht tar éis an bhrú, féach ar lóga an réiteora féin sula dtéann tú i dteagmháil leis an gcliant arís.

Ar an gcliant, fíoraigh cad a cuireadh i bhfeidhm: resolvectl status ar systemd-resolved Linux, scutil --dns ar macOS, ipconfig /all ar Windows. Ciallaíonn freastalaí DNS brúite nach bhfeictear riamh nár athlódáiltear an phróifíl.

Rogha B: iontrálacha hosts agus seoladh coinníollach

Is é iontráil hosts an réiteach is lú is féidir agus an ceann is bristí. Mapálann sé ainm amháin go seoladh amháin ar mheaisín amháin, mar sin oibríonn sé do thaispeántas agus briseann sé nuair a atógáiltear an deireadh príobháideach nó a IP. Folaíonn sé an bhearna cheart ón gcuid eile den fhoireann freisin.

Scálaíonn seoltóir coinníollach níos fearr gan DNS a bhrú chuig gach cliant. Féadann dnsmasq crios amháin a sheoladh chuig réiteoir an VNet agus gach rud eile a fhágáil ina thost: server=/cluster.internal/10.0.0.4. Tá seoltóirí coinníollacha ag DNS Windows, agus féadann cliaint Windows riail NRPT a úsáid don scoilteadh céanna. Teastaíonn bealach ón seoltóir chuig réiteoir an VNet fós.

Coinníonn seoladh an bhrabhsála nornálach áitiúil, rud atá tábhachtach ar thollán scoilte. Tugann sé áit amháin duit freisin chun ceisteanna don chrios príobháideach a logáil, agus áit amháin a bhriseann nuair a aistrítear óstach an tseoltóra.

Roghnaigh de réir úinéireachta, ní de réir áise

Brúigh an réiteoir nuair a rialaíonn tú próifíl an VPN agus nuair a theastaíonn uait go n-oibreodh gach ainm príobháideach, ní hamháin an API. Roghnaigh seoltóir nuair a chaithfidh cliaint a DNS áitiúil a choinneáil do gach rud eile, nó nuair a bhíonn an VPN á bhainistiú ag foireann eile seachas an bhraisle.

Is diagnóis iad iontrálacha hosts, ní imscaradh. Úsáid ceann chun a chruthú go bhfuil an API inrochtana, ansin bain é agus deisigh conair an réiteora; má fhágtar ina áit é iompaíonn ceist bealaigh ina fiach taisce níos déanaí. Cibé rogha a dhéanann tú, scríobh síos an crios, seoladh an réiteora agus an bealach a iompraíonn an cheist.

Tástáil deireadh an API, ní hamháin an t-ainm

Nuair a éiríonn leis an gcuardach, faigh deireadh leagain an API le CA na braisle. Scarann curl --cacert ca.crt https://api.internal.example:6443/version teipeanna TLS agus údaraithe ó DNS. Ciallaíonn 403 go n-oibríonn an t-ainm agus an nasc agus nach n-oibríonn an chéannacht.

Seiceáil freisin an bhfuil raon seoladh an chliaint ceadaithe ag líonraí údaraithe nó ag balla dóiteáin na braisle. Is minic nach nglacann braislí príobháideacha le trácht API ach ón VNet nó ó raonta piaraigh, mar sin ceanglaíonn tollán a shannann seoltaí ó linn eile ag an tsraith líonra agus caitear é ag an API.

Taifead ceithre fhíric nuair a dhéanann tú escalú: an réiteoir a d’úsáid an cliant, an seoladh a d’fhill sé, URL an fhreastalaí sa chomhthéacs kubeconfig roghnaithe, agus an chéad oibríocht a theip. Insíonn an taifead sin don chéad innealtóir eile an gá DNS, bealach nó polasaí balla dóiteáin a athrú, agus stopann sé an chéad eagarthóireacht eile ar chomhad hosts.

Tosaigh leis an gcuardach, roghnaigh conair an réiteora a oireann don té a shealbhaíonn an crios, ansin fíoraigh an deireadh. Má éiríonn leis na trí, is údarú an fhadhb atá fágtha, ní réiteach ainmneacha.