Ní shocraíonn nóid phríobháideacha GKE cén API a úsáideann kubectl

Tá na nóid phríobháideach, sroicheann an VPN iad, agus fós ní féidir le kubectl labhairt leis an gcliústar. Níl aon bhaint ag an dá fhíric sin lena chéile. Tagann an seoladh a úsáideann kubectl ó URL an fhreastalaí a stóráladh sa kubeconfig nuair a fuarthas na dintiúir, agus ní athraíonn aon chosán a chuireann tú leis é. Idir an dá linn, ní hiad na nóid ar chor ar bith an rud a bhfuil kubectl ag iarraidh a shroicheadh.

Cúig sheiceáil, ag tosú leis an aonluach a bhfuil tábhacht leis.

Seiceáil 1: léigh URL an fhreastalaí sa kubeconfig

Priontáil an críochphointe gan na dintiúir a dhoirteadh: kubectl config view --minify -o jsonpath="{.clusters[0].cluster.server}". Insíonn an t-aon teaghrán sin duit an bhfuil an cliant ag díriú ar sheoladh IP, ar ainm DNS nó ar sheoladh seachtrach nár bheartaigh tú. Leanann gach rud eile san imscrúdú seo uaidh.

Murab é an URL an críochphointe a shíl tú a bhí cumraithe agat, is seachrán é an chuid eile den diagnóis.

Seiceáil 2: meaitseáil an URL le cineál an chríochphointe

Tacaíonn GKE reatha le rochtain ar an bplána rialaithe bunaithe ar IP agus ar DNS araon, agus roghnaíonn na dintiúir a fhaigheann tú ceann acu. Scríobhann gcloud container clusters get-credentials NAME --location REGION --internal-ip an críochphointe IP inmheánach, agus roghnaíonn --dns-endpoint rochtain bunaithe ar DNS. Ní sholáthraíonn ceachtar den dá bhrat cosán líonra, rud a chuireann iontas ar dhaoine a bhfuil súil acu go gceartóidh an fháil an nascacht. Déan an fháil a athrá go stuama agus léigh an URL arís ina dhiaidh sin.

Nuair a athraíonn tú bratacha gan an URL a athléamh, sin é an bealach a gcríochnaíonn ríomhaire glúine le dintiúir dhá chliústar agus le hearráid amháin mhearbhallach.

Rialaíonn iontráil líonra údaraithe cé a fhéadfaidh críochphointe seachtrach a shroicheadh agus ní bhaineann sé leis an gceann inmheánach. Athraíonn tú do nochtadh seachas do dhiagnóis má leathnaíonn tú é chun cosán príobháideach a thástáil.

Seiceáil 3: cruthaigh an cosán chuig an gcríochphointe sin

Má tá an URL ina IP inmheánach, fíoraigh an cosán ón líonra a bhfuil an cliant suite ann i ndáiríre, an raon foinse a cheadaítear agus socrú rochtana réigiúnaí nó domhanda an chliústar. Ní hionann raon an phlána rialaithe agus fo-líonra na nód, mar sin ní chruthaíonn cosán oibre chuig na nóid aon rud faoin gcríochphointe. I gcás rochtana bunaithe ar DNS, is é an cosán ná nascacht Google API lena shocrú doiciméadaithe Private Google Access, ní cosán chuig fo-líonra na n-oibrithe. Tástáil an críochphointe le nasc TCP simplí sula gcuireann tú an milleán ar kubectl.

Is fadhb cosáin é teorainn ama. Is fadhb beartais é 403. Ní roinneann siad réiteach.

Seiceáil 4: scar loga agus exec ó ghlaonna API

Má éiríonn le gnáth-iarratais API agus má theipeann ar kubectl logs nó ar kubectl exec, tá tú tar éis roghnú an chríochphointe cheana féin. Teastaíonn na ceadanna Kubernetes comhfhreagracha ó na hoibríochtaí sin agus braitheann siad ar chumarsáid ón bplána rialaithe chuig na nóid, agus d'fhéadfadh an teip a bheith ina freagra Forbidden seachas ina teorainn ama. Tástálann rochtain SSH ar nód seirbhís iomlán eile agus ní shocraíonn sé iad.

Léigh an rang earráide sula n-athosclóidh tú an ticéad VPN, mar tá cónaí ar an dá rang in áiteanna éagsúla.

Seiceáil 5: coinnigh trí bhreathnóireacht don chéad duine eile

Taifead an URL API a roghnaíodh, an n-oibríonn aon iarraidh API údaraithe amháin, agus go beacht cén oibríocht níos déanaí a theipeann, mar aon le téacs na hearráide. Scarann na trí líne sin roghnú an chríochphointe ó rochtain ar nóid, agus cuireann siad cosc ar chosán VPN an-mhaith a bheith curtha i leith iarrata nach n-iompraíodh riamh.

Fiafróidh an t-innealtóir seo chugainn an bhfuil an tollán briste. Ba chóir go mbeadh do nóta in ann freagra a thabhairt air sin cheana féin.