Cén fáth a n-oibríonn kubectl thar an VPN ach stopann AKS ag scálú

Cuireann tú seoladh poiblí VPN na hoifige le liosta ceadaithe fhreastalaí AKS API, agus oibríonn kubectl. Seachtain ina dhiaidh sin teipeann ar scálú node pool, ní féidir le post CI an braisle a rochtain, agus taispeánann an tairseach earráid nach luann aon rud faoi raonta IP. Níor athraigh éinne an liosta ceadaithe. Is scagaire IP poiblí os comhair fhreastalaí an API é an rialtán a chumasaigh tú, agus níl a fhios aige cé atá ag glaoch, ach amháin cén seoladh ar tháinig an glao uaidh. Tá an VPN ina seoladh amháin i measc roinnt a bhfuil an braisle ag teastáil uathu, agus is annamh gurb é an ceann a bhriseann ar dtús.

Meaitseálann an liosta ceadaithe seoladh, ní duine

--api-server-authorized-ip-ranges glacann sé bloic CIDR, ní húsáideoirí ná grúpaí. Nuair a fhágann iarraidh forbróra freastalaí an VPN le dul go Azure, is é seoladh foinse ag freastalaí an API egress poiblí fhreastalaí an VPN. Dá bhrí sin roinneann gach duine ar an VPN sin iontráil amháin, agus diúltaítear do dhuine ar bith lasmuigh den VPN sula dtarlaíonn fíordheimhniú fiú.

Ciallaíonn sé sin freisin go nglacann an iontráil le níos mó daoine ná mar a bheartaigh tú. Tagann conraitheoir le rochtain VPN, ríomhaire glúine pearsanta ar an gcomhchruinnitheoir céanna, agus cuntas atá curtha i mbaol ar fad ón seoladh céanna. Ní athraíonn údarú na braisle, mar sin socraíonn rialú rochtana bunaithe ar ról fós cad is féidir leis an nglaoiteoir a dhéanamh, ach ní rialtán céannachta é an liosta ceadaithe agus níor cheart cur síos air mar sin riamh.

An rud a bhriseann ar dtús ní kubectl de ghnáth

Baineann an liosta ceadaithe le críochphointe poiblí fhreastalaí an API, mar sin stopann gach rud lasmuigh de na seoltaí atá liostaithe agat ag obair láithreach. Is iad na híospartaigh fhollasacha an dara hoifig gan bealach VPN, rithneoir CI i bpíblíne óstáilte, agus ríomhaire glúine a rinne dearmad ceangal. Is furasta iad seo a aithint mar tá duine ag fanacht.

Is é an cás is lú follasacht ná uathoibriú a thiomáineann Azure nó d'uirlisí féin. Sroicheann roinnt oibríochtaí a thionscnaíonn an t-ardán freastalaí an API ó sheoltaí nach é do VPN iad, agus nuair a thosaíonn ceann acu ag teip díreach tar éis an liosta a dhéanamh níos déine, is é an t-am an leid. Ná glac leis go bhfuil an liosta iomlán mar oibríonn rochtain idirghníomhach; seiceáil cad a éilíonn an ghné do do réigiún agus do shíntiúis sula dtagann tú chun críche go bhfuil an braisle briste.

Cabhraíonn síniú na teipe. Mura sroicheann an iarraidh fíordheimhniú riamh, is é an scagaire atá i gceist. Má dhéanann sé fíordheimhniú agus ansin earráid cheada a fháil, rinne an scagaire a chuid oibre agus is é an fhadhb rialú rochtana bunaithe ar ról, nach dteagmhaíonn an liosta ceadaithe leis riamh.

Tóg an liosta iomlán in aon ordú amháin

Cuireann an paraiméadar nuashonraithe ionad an liosta iomláin in áit iontráil a chur leis, mar sin fágann ordú nach n-iompraíonn ach seoladh an VPN gach rud eile a bhí ann go ciúin. Léigh an luach reatha ar dtús, coinnigh é, agus seol an t-aontas:

az aks show -g rg-app -n aks-prod \
  --query apiServerAccessProfile.authorizedIpRanges -o tsv

az aks update -g rg-app -n aks-prod \
  --api-server-authorized-ip-ranges 203.0.113.10/32,198.51.100.0/24

Úsáid IP poiblí atá curtha in áirithe do fhreastalaí an VPN sula mbraitheann tú ar seo. Athraíonn seoladh dinimiciúil ar athnascadh, agus cuireann gach athrú an fhoireann amach ón mbraisle go ciúin go dtí go nuashonraíonn duine éigin an liosta ó líonra atá fós ceadaithe. Má tá dhá phointe egress VPN agat le haghaidh iomarcaíochta, liostaigh an dá cheann, mar níl aon choincheap ag an scagaire de chonair is fearr leat.

Ordaigh an t-athrú ionas gurb é an chéad iarracht cheadaithe an tástáil freisin. Fógair an liosta nua, cuir i bhfeidhm é, agus ceangail ón VPN láithreach; má dhéanann tú é sa chaoi eile fágtar fuinneog ina féidir le duine ar bith freastalaí an API a rochtain chun clóscríobh a cheartú i mbloc CIDR.

An rud nár chlúdaigh an liosta ceadaithe riamh

Ní dhéanann sé freastalaí an API príobháideach. Úsáideann braisle phríobháideach críochphointe príobháideach agus DNS príobháideach, agus ní hé an liosta raonta údaraithe an rialtán a thagann ina áit. Ní athraíonn sé ach an oiread cad is féidir le glaoiteoir a ligtear isteach a dhéanamh, mar sin oibríonn kubeconfig riaracháin atá sceite fós ó aon seoladh ceadaithe. Caith leis an creidiúnaí mar an teorainn slándála agus leis an liosta mar áise líonra.

Níl aon bhaint aige le hualaí oibre. Leanann Pods agus Services ag rith leis an liosta cumasaithe, agus is fadhb ar leith é feidhmchlár a rochtain thar an VPN: tá Service nach bhfuil aige ach IP braisle fós ag teastáil uaidh balancer ualaigh inmheánach, ingress nó port-forward sula féidir le ríomhaire glúine é a oscailt. Cruthaíonn meascadh an dá dhearadh ticéad athraithe a mhaíonn srian a chur ar fhorbróirí agus nach gcuireann srian ar bith ar na feidhmchláir i ndáiríre.

Fíoraigh ón dá thaobh, ansin rith oibríocht fhíor amháin

Tástáil le cliant úr ar an VPN agus le cliant lasmuigh di. Ba cheart an iarracht ón taobh amuigh a dhiúltú ag freastalaí an API, ní ag réiteach ainmneacha; mura réitítear an t-ainm, tá DNS á thástáil agat agus níl aon rud foghlamtha agat faoin scagaire. Ansin rith oibríocht nach glao idirghníomhach kubectl í, amhail scálú node pool nó seiceáil uasghrádaithe, agus deimhnigh go gcríochnaíonn sí in áit a ghlacadh leis go ndéanfaidh.

Coinnigh luach an liosta roimhe seo taifeadta in aice an athraithe, agus athléigh an luach éifeachtach tar éis an nuashonraithe in áit muinín a chur san ordú a clóscríobhadh. Liostaíonn doiciméadú AKS ar raonta IP údaraithe na paraiméadair a thacaítear leo agus na riachtanais ardáin a bhaineann leis an liosta céanna, agus sin an chuid a fhágann formhór na dtuairiscí ticéid ar lár.