Cén fáth nach féidir le podanna GKE óstaigh áitiúla a bhaint amach trí VPN

Oibríonn ping ón nód agus teipeann sé ón pod, agus ní shroicheann aon rud an áit áitiúil. Tá an tollán agus an bealach ceart; níl an seoladh foinse ar an sreang. Is é an difríocht idir an dá chás ná cad a mhaíonn an paicéad a bheith nuair a fhágann sé an braisle, agus tá tuairim ag GKE faoi sin. Is é an meicníocht ná liosta eisceachtaí masquerade, agus ní thógann sé ach aon ordú amháin é a léamh.

Léigh an liosta éifeachtach sula n-athraíonn tú rud ar bith

Seolann GKE gníomhaire a shocraíonn, de réir raoin chinn scríbe, an ndéanfar trácht na bpodaí a athscríobh chuig seoladh an nóid ar an mbealach amach. Ainmníonn a chumraíocht seolta na trí bhloc RFC1918, 10.0.0.0/8, 172.16.0.0/12 agus 192.168.0.0/16, mar chinn scríbe atá díolmhaithe. Dá bhrí sin fágann aon rud a sheolann tú ó phod chuig óstach 10.x áitiúil an nód agus seoladh an phoda féin fós ceangailte de. Ní athscríobhtar trácht an nóid féin, agus is é sin go beacht an fáth a n-oibríonn a ping.

Léigh an chumraíocht bheartaithe agus na rialacha suiteáilte, mar is féidir leo easaontú. Taispeánann kubectl -n kube-system get configmap ip-masq-agent -o yaml an méid a dúradh leis an ngníomhaire, agus taispeánann kubectl -n kube-system get pods -l k8s-app=ip-masq-agent an bhfuil rud ar bith ag rith chun é a chur i bhfeidhm. Ar nód, taispeánann iptables-save | grep -i masq na rialacha atá ann go hiarbhír sa chineál. Nuair a deir an ConfigMap rud amháin agus na rialacha rud eile, is é an gníomhaire an t-amhrasach seachas an líonra.

Deimhnigh an seoladh foinse le gabháil

Déan gabháil sula n-athraíonn tú liosta. Coinníonn scagaire ar an aon cheann scríbe an t-aschur inléite: tcpdump -ni any host 10.20.30.40.

Cuir é sin i gcomparáid leis an méid a thuairiscíonn an taobh thall. Dúnann gabháil áitiúil a thaispeánann seoladh an phoda agus gan aon fhreagra an ciorcal: míníonn an liosta eisceachtaí an neamhshiméadracht gan aon locht tolláin. Is leor dhá bhreathnóireacht ar aon seoladh foinse chun stopadh ag tuairimíocht faoin CNI.

Cúngaigh an eisceacht don pod-CIDR

Cúngaíonn an deisiú tacaithe an díolúine in ionad í a bhaint: coinnigh an pod-CIDR díolmhaithe agus scaoil an chuid eile de spás 10.x. Tá an liosta sin in ConfigMap an ghníomhaire faoi nonMasqueradeCIDRs, agus is eagarthóireacht é a athrú agus rolladh amach ina dhiaidh. Cuir raon iarbhír na bpodaí sa bhraisle in ionad an iontrála leithne, coinnigh na bloic phríobháideacha eile má theastaíonn siad fós ó thrácht laistigh den bhraisle, agus fág resyncInterval gan chorrú mura bhfuil cúis agat. Cuir i bhfeidhm é, deimhnigh gur atosaigh podanna an ghníomhaire, agus deimhnigh gur athraigh rialacha an chineáil.

Is athrú ar fud na braisle é seo a bhfuil fíor-raidias tionchair aige. Nuair a thagann sé i bhfeidhm, tagann trácht a choinnigh a phod-fhoinse roimhe seo athscríofa chuig an nód anois, mar sin feiceann aon rud a bhí eochairthe ar na seoltaí pod sin seoltóir difriúil. Is iad na híospartaigh ná logaí, liostaí ceadaithe agus rialacha balla dóiteáin áitiúla a ainmníonn seoltaí pod, agus teipeann siad go ciúin. Fógair an t-athrú mar athrú iompraíochta seachas mar dheisiú.

Ar bhraisle a bhfuil roinnt comhthiomsuithe nód, seiceáil go bhfuil an gníomhaire sceidealaithe ar na nóid ina ritheann na podanna a bhfuil tionchar orthu i ndáiríre. Coinníonn comhthiomsú gan an DaemonSet a sheanrialacha, agus ní thaispeánfaidh aon rud sa ConfigMap é sin.

An rogha eile agus a chostas

Coinníonn an rogha eile seoltaí pod slán agus múineann sé an bealach fúthu. Téann an pod-CIDR isteach i roghnóirí tráchta Cloud VPN, agus teastaíonn bealach fillte uaidh ar an taobh áitiúil ionas go mbeidh a fhios ag freagraí cá bhfuil le dul. Caomhnaíonn sé sin féiniúlacht an phoda, a theastaíonn ó roinnt samhlacha slándála, agus leathnaíonn sé raon an ródaithe agus raon an bhalla dóiteáin araon a chaithfidh an taobh thall a ghlacadh.

Is é an mhalairt inléiteacht in aghaidh raoin. Cuireann aistriúchán ar an taobh áitiúil aon seoladh amháin in aghaidh an nóid a fheiceáil, rud atá éasca le cur ar liosta ceadaithe agus a cheileann cé acu pod a sheol cad. Coinníonn gan aistriúchán seoladh an phoda ó cheann go ceann, rud atá níos fearr le haghaidh sannadh agus níos measa do gach feiste sa bhealach a chaithfidh raon nua a fhoghlaim. Ní locht Docker ná CNI ceachtar den dá rogha; is cinntí ródaithe iad araon a bhfuil bille oibríochtúil orthu. Roghnaigh an ceann ar féidir le do fhoireann a bhille a íoc, agus scríobh síos cén fáth.

Fíoraigh agus rollaigh siar

Rith an ghabháil chéanna arís. Ciallaíonn gabháil ag leibhéal an nóid a phriontálann seoladh an phoda fós tar éis d'eagarthóireachta nár athraigh na rialacha riamh, cibé rud a deir an ConfigMap. Is é an sreang an fhíric; is tátal gach aon rud eile.

Ansin seiceáil an treo droim ar ais, mar ní dhéantar ach leath de na hathruithe seo a fhíorú amach. Deimhnigh go sroicheann an freagra an nód nó an pod a sheol an iarratas, agus deimhnigh gur chríochnaigh an feidhmchlár seachas SYN amháin a fháil. Is fadhb ródaithe ar an taobh thall é gabháil a thaispeánann iarratas gan freagra, ní fadhb masquerade ar an taobh seo.

Is é an rolladh siar an ConfigMap roimhe seo, curtha i bhfeidhm ar an mbealach céanna, leis an deimhniú céanna gur atosaigh an gníomhaire agus gur athraigh na rialacha. Coinnigh an seoladh foinse roimh agus tar éis d'iarratas aitheanta amháin sa taifead athraithe, mar is é an aon líne sin a chruthaíonn gur dhein an t-athrú an rud a dúirt tú. Déanann treoir ghníomhaire masquerade IP GKE doiciméadú ar na réamhshocruithe agus ar réimsí an ConfigMap. Mura n-athraíonn an seoladh foinse tar éis an rollta amach, níl an gníomhaire ag rith ar an nód sin agus ní dhearnfaidh aon mhéid eagarthóireachta YAML é a shocrú.