IP cliant VPN i Kubernetes: é a chaomhnú nó SNAT a dhéanamh?

Áit éigin idir an tollán agus an backend, maireann seoladh cliaint nó cuirtear ina áit é, agus tá an dá thoradh inchosanta. Baineann an rogha leis an té a shealbhaíonn an tseirbhís ghlacach, ní leis an té a shuiteáil an CNI. Nuair a bhíonn údarú in aghaidh an chliaint, cuótaí nó taifid iniúchta tábhachtach, caithfidh an seoladh maireachtáil trí gach léim. Nuair a bhíonn comhfhionnú inghlactha, baineann NAT foinse deireadh le fadhb ródaithe a choinneofá ar feadh na síoraíocht murach sin.

Cá n-imíonn seoladh an chliaint i ndáiríre

Sroicheann paicéad cliaint chianda an pod VPN le foinse inmheánach laistigh de raon an tolláin, abair 10.90.0.42. Nuair a aistríonn an pod an paicéad sin i dtreo ClusterIP nó IP pod, is féidir le trí mheicníocht éagsúla an fhoinse a athscríobh. Clúdaíonn riail masquerade an CNI ar an nód an trácht a sheolann an pod lasmuigh de CIDR an bhraisle. Clúdaíonn iontráil conntrack kube-proxy ar an nód cinn scríbe an léim Service féin. Ní aistríonn proxy a chríochnaíonn an nasc an paicéad ar chor ar bith, mar sin baineann an fhoinse a fheiceann tú sa deireadh leis an proxy.

Maíonn gach ceann acu i gciseal éagsúil, agus sin an fáth nach ndearann aon réimse Service amháin an cosán iomlán go minic.

Ní chinneann externalTrafficPolicy ar Service poiblí an VPN ach cad a tharlaíonn don nasc seachtrach: coinníonn Local an seoladh cianda ar an nód a fuair é, agus ligeann Cluster do kube-proxy an paicéad a thabhairt do nód eile agus masquerade a dhéanamh air ansin. Rialaíonn an socrú sin an t-éisteoir a ghlaonn do chliaint air. Ní deir sé aon rud faoin bpaicéad díchriptithe a ródaíonn do phróiseas VPN isteach sa bhraisle ina dhiaidh sin.

Trí choinníoll a shocraíonn an argóint

Cuirim na trí cheist chéanna san ord céanna gach uair a thagann sé seo aníos, mar is gnách go gcríochnaíonn an chéad cheann an plé. Freagair iad don ualach oibre sonrach agus ní don bhraisle ina hiomláine. Is féidir le dhá bhraisle laistigh de chomhlacht amháin teacht ar fhreagraí éagsúla agus an dá cheann a bheith ceart.

Má fhreagraíonn an backend tá don chéad cheist agus níl don dara ceist, tá obair líonra le déanamh agat seachas manifest a chur in eagar. Má deir an tríú ró proxy, ní raibh an seoladh riamh chun maireachtáil, agus cosnaíonn ligean ort a mhalairt seachtain de ghabháil paicéad.

Cad a éilíonn modh preserve ón líonra

Ciallaíonn caomhnú na foinse go gcaithfidh an nód cinn scríbe an trácht a sheoladh ar ais chuig 10.90.0.42 trí gheata VPN gníomhach. Ní CIDR braisle é linn an VPN, mar sin ní ródálann aon CNI é ar do shon de réir réamhshocraithe. Cuireann tú an ród leis féin agus ansin déanann tú cinnte go maireann críochphointe an gheata a dtugann sé aghaidh air athsceidealú.

ip route add 10.90.0.0/24 via 10.244.3.17 dev eth0
sysctl -w net.ipv4.conf.eth0.rp_filter=2

Is seoladh pod é an chéad léim eile, agus bogann seoltaí pod. Treoraigh an ród chuig VIP Service nó chuig seoladh nóid a fhanann ina áit, nó glac leis go mbeidh tú ag ruaigeadh an gheata tar éis gach díshealbhaithe. Is é scagadh an chosáin inbhéartaigh an gaiste eile: ligeann modh dian paicéid a bhfuil a gcosán fillte neamh-mheaitseálaíoch leis an gcomhéadan ar tháinig siad air, agus sin go beacht cruth sreafa VPN chaomhnaithe.

Is minic gurb é bailíochtú scaoilte an difríocht idir cosán fillte oibritheach agus freagraí a imíonn tar éis an backend a fhágáil. Caithfidh rialacha masquerade ar an nód VPN raon an tolláin a eisiamh freisin, nó fágann an paicéad aistrithe le seoladh an phod, is cuma cén ród a thóg tú. Is fearr an t-eisiamh sin a chur in iúl i gcumraíocht an CNI féin seachas iptables a chur in eagar de láimh, mar scríobhann an gníomhaire a shlabhraí arís agus é ag atosú agus maireann do riail láimhscríofa go beacht go dtí an chéad uasghrádú eile.

Is rialú rochtana é NetworkPolicy, ní ródú. Ní chuirfidh déanamh polasaí níos déine seoladh ar ais riamh a bhfuil masquerade tar éis a ionadú cheana.

Cad a chosnaíonn SNAT, agus conas é a scríobh síos

Is é NAT foinse i dtreo na braisle an dearadh is saoire, agus ní botún é. Feiceann an backend seoladh an phod nó an nóid VPN, aontaíonn na logaí lena chéile, agus ní gá aon chosán fillte a bheith ann. Is é an rud a chailleann tú ná an cumas dhá chliant a aithint ó chéile ag an gciseal líonra, mar sin caithfidh cuótaí, toirmisc agus rianta iniúchta teacht as áit éigin eile.

Is gnách gurb é an t-iarratas an áit eile sin: comhartha seisiúin, ceanntásc sínithe nó líne phrótacail PROXY a scríobhann proxy a rialaíonn tú. Tugann siad seo aitheantas don ghlacadóir nach féidir leis muinín a bheith aige as ach amháin nuair a bhíonn an proxy ar an gcosán agus nach féidir an ceanntásc a shocrú ó thaobh an chliaint. Bí soiléir sa runbook faoi cé acu a thagann i bhfeidhm, mar glacfaidh an chéad innealtóir eile gurb é an seoladh sa log an cliant. Ní hea, agus is leor aon eachtra amháin chun an glacadh sin a dhéanamh costasach.

Fanann an mhalairt macánta chomh fada agus atá sé scríofa síos.

Seiceálacha a dhealaíonn cosán oibritheach ó cheann ámharach

Tástáil le nasc úr seachas ceann i dtaisce, agus tástáil sa dá threo. Breathnaíonn roinnt teipeanna idirchinnitheach ach amháin toisc go dtógann sreafaí nua an cosán athscríofa.

Gabhadh an tuple ag trí phointe le linn aon iarratais údaraithe: díreach tar éis díchapslaithe, ar chomhéadan amach an phod VPN, agus ar an backend. Má athraíonn an fhoinse idir an dara agus an tríú gabháil, tá an chúis le sruth ón bpod. Má athraíonn sí roimh an dara ceann, tá an pod féin ag aistriú.

Ansin scrios an pod VPN agus déan an tástáil arís agus é á athsceidealú. Tá cosán caomhnaithe a bhriseann ar dhíshealbhú neamhchríochnaithe, agus mar sin tá riail NAT atá ceangailte le seoladh nach bhfuil ann a thuilleadh. Faoi dheireadh, seol aon iarratas amháin ó fhoinse a bhfuil tú ag súil go ndiúltófar dó agus deimhnigh gur ón bpolasaí a thagann an diúltú agus ní ó ród atá ar iarraidh.