VPN Pod i Kubernetes nó geata eisreatha: cé leis an tollán?

Imscríobhann tú Pod darb ainm vpn-gateway, díríonn tú cliant tástála ar a sheoladh agus feiceann tú na paicéid ag imeacht. Níl aon rud mícheart sa mhanifest agus níl aon ghearán ag an kubelet. Tá an chúis struchtúrtha seachas cumraíochta: tugann Kubernetes a spás ainmneacha líonra féin do gach Pod, mar sin ní athraíonn ainm, lipéad ná spás ainmneacha API comhroinnte aon rud faoin áit a dtéann na paicéid. Mar sin tosaíonn an cinneadh faoin gcaoi a n-imíonn trácht VPN as an gcnuasach le ceist faoi úinéireacht, ní faoi íomhánna coimeádán.

Clúdaíonn dhá mheicníocht formhór na bhfíorfholuithe, agus ní féidir iad a mhalartú. Cuireann ceann amháin an tollán laistigh de spás ainmneacha líonra an ualaigh oibre féin. Iarrann an ceann eile ar an CNI trácht roghnaithe a stiúradh trí nód geata ainmnithe. Teipeann orthu ar bhealaí difriúla, scálaíonn siad ar bhealaí difriúla agus freagraíonn siad do fhoirne difriúla, agus is é sin an fáth a dtáirgeann ceist an choimeádáin argóintí nach réitítear riamh.

Is spás ainmneacha é teorainn Pod, ní óstach léime

Sealbhaíonn spás ainmneacha líonra Linux a chomhéadain, a sheoltaí, a bhealaí agus a rialacha balla dóiteáin, agus faigheann gach Pod ceann. Tagann coimeádáin laistigh den Pod sin isteach ann, agus is ar an gcúis sin go díreach is féidir le coimeádán cúnta bealaí a athscríobh a leanann an feidhmchlár ansin. Tá cruach ag Pod comharsanach atá cosúil ó thaobh cuma de ach go hiomlán ar leith. Níl aon tábla comhroinnte le hoidhreacht ag Pod geata, agus níl aon aistriú intuigthe tráchta ó spás ainmneacha amháin go spás eile.

Is ar an gcúis sin freisin nach n-oibríonn patrún an Phod gheata go dtí go seolann rud éigin suas an sruth paicéid chuige i ndáiríre: Service, bealach statach ar an nód nó beartas stiúrtha sa CNI. Ní tharraingíonn seoladh amháin aon rud.

Cad a cheannaíonn tollán in aghaidh an Phod, agus cad a chosnaíonn sé

Tugann tollán a ritheann i spás ainmneacha an ualaigh oibre féiniúlacht cliaint féin don ualach oibre sin, rud a éilíonn a lán seirbhísí rochtana cianda sula n-údaraíonn siad seisiún nó sula ndéanann siad cuntas air. Fanann an ga damáiste go háitiúil freisin: baineann tollán briste Deployment amháin amach in ionad an chosáin chomhroinnte a úsáideann gach rud. Braitheann an chaoi a ritheann sé ar an gcur i bhfeidhm, agus is anseo a dhéanann daoine buille faoi thuairim mhícheart.

Is féidir le socrú nach bhfuil uaidh ach staid eithne críochnú i gcoimeádán init agus imeacht. Teastaíonn an fhoirm coimeádáin init in-athluchtaithe a tugadh isteach mar sidecar dúchais i Kubernetes 1.29 ó dhaemon spáis úsáideora a chaithfidh fanacht beo ar feadh shaolré an Phod, agus tagann an t-idirdhealú sin ó chur i bhfeidhm an tolláin seachas ó bhlas. Is é costas an mhúnla seo an dúbailt: déanann gach macasamhail fíordheimhniú, faigheann sí a seoladh tolláin féin agus ídíonn sí sliotán seisiúin chianda, mar sin éiríonn ócáid uathscálaithe ina hócáid acmhainne ar an taobh eile den nasc. Ní bhaineann cóipeáil aon chreidúnaí amháin isteach i ngach macasamhail an costas sin amach, baineann sé an rian iniúchta amach. Tá tuillte ag cumais ag an scrúdú céanna, mar níl aon chúis ag tollán a theastaíonn NET_ADMIN ina spás ainmneacha féin údarás an óstaigh iomláin a oidhreacht ó shampla le privileged: true.

Nuair is leis an CNI an t-eisreath

Má thacaíonn an CNI leis, roghnaíonn geata eisreatha trácht de réir ualaigh oibre agus raoin chinn scríbe, agus ansin seolann sé trí nóid roghnaithe faoi aon seoladh foinse intuartha amháin. Is é leagan Cilium an ghnáth-thagairt, agus deir a dhoiciméadú go soiléir go dteastaíonn cumraíocht Cilium ar leith agus nóid gheata a bhfuil na comhéadain agus na seoltaí cearta acu ón ngné. Luann sé freisin tréimhse tosaigh tar éis Pod a chruthú nuair nach gcuirtear an stiúradh i bhfeidhm fós, rud is ionchur dearaidh é seachas fonóta.

Léigh an mhoill sin i gcoinne do ghealltanais féin. Más é an riail nach féidir le haon trácht imeacht ar chosán eile, tá sé briste cheana ag Pod nua a sheolann le linn na bearna, mar sin teastaíonn a fhreagra féin ón seicheamh tosaithe: coinnigh an feidhmchlár siar go dtí go gcuirtear an beartas i bhfeidhm, nó glac leis an bhfuinneog agus déan é a dhoiciméadú.

Coinnigh an t-éileamh cúng. Roghnaíonn geata eisreatha cosán agus aistríonn sé é. Ní chuireann sé deireadh le VPN, agus ní dhéanann sé an cnuasach ina chliant ar do líonra cianda gan nasc tacaíochta taobh thiar de.

Athraíonn an aistriúchán go ciúin an rud a fheiceann an taobh cianda

Nuair a athscríobhann an geata an fhoinse, bíonn na seoltaí in aghaidh an Phod imithe, mar sin éiríonn liosta ceadaithe atá bunaithe ar fhéiniúlacht ina liosta atá bunaithe ar aon seoladh comhroinnte amháin. Is malartú é seachas locht: níos lú rialacha le cothabháil, cur i leith níos garbh nuair a iompraíonn rud éigin go dona.

Caithfidh fíordheimhniú ag leibhéal an fheidhmchláir agus logáil iarratas an rud nach dtugann an líonra tuairisc air a thuilleadh a iompar. Caith le hacmhainn agus le hathsholáthar an gheata mar bhonneagar comhroinnte, mar cuireann atosú aon nóid amháin isteach ar gach ualach oibre taobh thiar de anois, agus seiceáil an cosán fillte go luath: caithfidh an taobh cianda a bheith eolach ar conas teacht ar an seoladh aistrithe, de ghnáth trí bhealach nó NAT nach mór do dhuine, ní do mhanifest, a bheith ina sheilbh. Baineann pleanáil seoltaí leis seo freisin, mar bhriseann raonta cnuasaigh agus cianda a fhorluíonn a chéile an dá mhúnla agus ní leithscéal é IPv6 a ghlacadh do phlean contrártha.

Socraigh de réir úinéireachta, ansin tástáil an teip a gheall tú

Roghnaigh an tollán in aghaidh an Phod nuair a dhéanann an tseirbhís chianda fíordheimhniú ar ualaí oibre aonair, nuair nach dteastaíonn an nasc ach ó bheagán Deployment, agus nuair ba cheart teip fanacht áitiúil. Roghnaigh an geata nuair is le foireann líonra an cosán cheana, nuair a roinneann a lán ualaí oibre ceann scríbe amháin, agus nuair is é seoladh foinse cobhsaí pointe iomlán an chleachtaidh.

Ar aon nós, fíoraigh an t-airí a dhíol tú seachas an ghnáthstaid. Cruthaigh Pod, lig dó seoladh láithreach agus breathnaigh ar na chéad soicindí más é an gealltanas a bhí ann nach n-éalaíonn aon rud as an tollán. Scálaigh go cúig mhacasamhail agus comhair na seisiúin a thuairiscíonn an taobh cianda más í an fhéiniúlacht in aghaidh an ualaigh oibre an gealltanas. Nochtann an dá sheiceáil sin teorainneacha na meicníochta i bhfad níos tapúla ná athbhreithniú ar an manifest, agus insíonn siad duit cé leis an gcéad eachtra eile.