1.14 પછી GKE પોડ્સે VPN ઍક્સેસ ગુમાવી: સ્રોત સુધારવાની બે રીતો

1.14 પછી પોડ્સ પોતાના સરનામાં સાથે VPN સુધી પહોંચે છે, તેથી પીઅર્સ જવાબો કાઢી નાખે છે. સ્રોત કરાર પસંદ કરો, પછી nonMasqueradeCIDRs તે મુજબ સેટ કરો.

એક અપગ્રેડ આવે છે, અને ટનલની બીજી બાજુની સિસ્ટમો ગયા અઠવાડિયે કામ કરતું પોડ ટ્રાફિક નકારવા લાગે છે. ટનલ ચાલુ છે, ફાયરવૉલ નિયમો અડી નથી, અને કોઈએ પીઅર નીતિ સંપાદિત કરી નથી. જે બદલાયું તે ક્લસ્ટર લૉગમાં અદ્રશ્ય છે: તે સિસ્ટમો હવે જે સ્રોત સરનામું જુએ છે. આ અંતર એવી નિષ્ફળતા સમજાવે છે જે નેટવર્ક આઉટેજ જેવી લાગે છે અને પરવાનગીની સમસ્યા જેવી વર્તે છે.

બે માન્ય જવાબો છે, અને તે તમને જુદી જુદી જગ્યાએ લઈ જાય છે. ConfigMap સંપાદિત કરતા પહેલાં સ્રોત કરાર પસંદ કરો.

ડિફૉલ્ટ નિયમ જે ઇન્સ્ટોલ થવાનું બંધ થયું

અગાઉના GKE રિલીઝોએ masquerade નિયમ ઇન્સ્ટોલ કર્યો હતો જે ગંતવ્ય 10.0.0.0/8 ની બહાર હોય ત્યારે પોડ સ્રોતને નોડ સરનામાથી બદલી નાખતો. તે શ્રેણીની અંદરનું VPN ગેટવે પોડ સરનામું જોતું, જ્યારે વધુ દૂરનું કંઈ નોડથી આવતું લાગતું. પીઅર્સે નોડ સરનામાંની આસપાસ મંજૂરી-યાદીઓ અને પરત માર્ગો બનાવ્યા, કારણ કે તેઓ એ જ નિરીક્ષણ કરતા હતા.

પછીના રિલીઝોએ તે ડિફૉલ્ટ નિયમ ઇન્સ્ટોલ કરવાનું બંધ કર્યું. પોડ ટ્રાફિક હવે ગંતવ્ય ગમે તે હોય, પોડ સરનામાં સાથે ગેટવે પર પહોંચે છે. જે પીઅર ફક્ત નોડ સરનામાં માર્ગે છે તે જવાબો કાઢી નાખે છે, અને બંને પક્ષમાંથી કોઈ ઉપયોગી લૉગ એન્ટ્રી લખતું નથી. વિનંતી દૂરના છેડે સફળ પણ થઈ શકે છે, અને એ જ નિષ્ફળતાને અનુસરવી મૂંઝવણભરી બનાવે છે.

મૃત ઘટકના અર્થમાં કંઈ તૂટ્યું નથી. બંને પક્ષ ફક્ત એ વિશે સહમત નથી કે કયો સ્રોત કાયદેસર છે.

પીઅરે જે સ્રોત જોવો જોઈએ તે પસંદ કરો

પોડ સરનામાં રાખવું વધુ સચોટ કરાર છે. દૂરનો પક્ષ ટ્રાફિક ઉત્પન્ન કરનાર વર્કલોડ જુએ છે, લૉગ પ્રામાણિક રહે છે, અને પ્રતિ-પોડ નીતિ શક્ય બને છે. કિંમત એ છે કે પીઅરે પોડ પ્રીફિક્સ વહન કરવું પડે.

નોડ સરનામાં રાખવું સસ્તું કરાર છે. તે ગંતવ્ય માટે masquerade ફરી ચાલુ કરો અને પીઅર પહેલેથી વિશ્વાસ કરે છે તે સરનામું જોતું રહેશે.

એક પ્રશ્ન તેમની વચ્ચે નિર્ણય કરે છે: પીઅર સ્રોત સાથે શું કરે છે? જો તે લૉગ કરે, પ્રતિ-સ્રોત નીતિ લાગુ કરે અથવા સાંકડું પરત માર્ગ આદેશે, તો પોડ સરનામાં વધારાની રૂપરેખા વાજબી ઠેરવે છે. જો તેને ફક્ત જવાબો મોકલવાના હોય, તો masquerade ઓછું ખર્ચે છે અને બીજા પક્ષ પાસેથી કંઈ માંગતું નથી. બંને ટીમો તે લખી રાખે ત્યાં સુધી કોઈપણ પસંદગી સમર્થનીય છે.

ત્રીજો વિકલ્પ સામાન્ય રીતે ભૂલ છે: બધું masquerade કરવું અને ટ્રાફિકને આરોપવાની ક્ષમતા ગુમાવવી. જ્યાં સુધી પીઅર ખરેખર નોડ સરનામાં સિવાય કંઈ માર્ગી ન શકે ત્યાં સુધી તેનાથી બચો.

nonMasqueradeCIDRs ને વાસ્તવિક શ્રેણીઓ તરફ દિશામાન કરો

GKE kube-system માં ip-masq-agent ચલાવે છે, અને તેનું ConfigMap masquerade છોડી દેતાં ગંતવ્યોની યાદી આપે છે. ટનલ તરફ પોડ સ્રોત જાળવવા માટે પોડ શ્રેણી, નોડ સબનેટ અને સ્થાનિક પ્રીફિક્સ બધા તે યાદીમાં આવે છે.

નમૂના મૂલ્યોને તમારા પોતાના ક્લસ્ટરની શ્રેણીઓથી બદલો. યાદીને જરૂરિયાત કહે તેનાથી પહોળી ન બનાવો, કારણ કે દરેક વધારાની એન્ટ્રી બીજા કોઈ ગંતવ્યને શું દેખાય છે તે બદલે છે. નીચેની ત્રણ એન્ટ્રીઓ પોડ નેટવર્ક, નોડ સબનેટ અને ટનલ પાછળના પ્રીફિક્સ દર્શાવે છે:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

0.0.0.0/0 એન્ટ્રી બધા ગંતવ્યો માટે masquerade બંધ કરે છે, જે અસંબંધિત વર્કલોડ બાહ્ય સેવાઓને કેવા દેખાય છે તે બદલે છે અને ભાગ્યે જ ઇરાદાપૂર્વક હોય છે. એજન્ટ resyncInterval પર તેની રૂપરેખા ફરી વાંચે છે, તેથી ફરી શરૂ કરવાની સામાન્ય રીતે જરૂર નથી. એજન્ટ પોડ ચાલુ છે કે નહીં તપાસો, પછી તેની અંદરની માઉન્ટ થયેલ ફાઇલ ખોલો. તે ફાઇલ વાંચવી એ પ્રમાણ છે કે ફેરફાર પહોંચ્યો.

જવાબનો માર્ગ બીજો અડધો ભાગ છે

masquerade ફક્ત વિનંતીનો સ્રોત બદલે છે, બીજું કંઈ નહીં. પીઅરને ગમે તે સ્રોત મળે, તેને પાછા જવાનો માર્ગ હજી જોઈએ છે, અને ક્લસ્ટરને પીઅર તરફનો માર્ગ હજી જોઈએ છે.

VPN ગેટવે પર કૅપ્ચર બે નિષ્ફળતાઓને ઝડપથી અલગ પાડે છે. પોડ સરનામાં સાથે આવીને કદી જવાબ ન મળતા પેકેટનો અર્થ છે કે પીઅર પાસે પોડ પ્રીફિક્સ માટે માર્ગ નથી. ગેટવે પર દેખાય પણ ક્લસ્ટર સુધી કદી ન પહોંચતા જવાબનો અર્થ છે કે સ્થાનિક માર્ગ ખૂટે છે. કોઈપણ સ્થિતિમાં કરાર ટિકિટમાં લખો: પીઅર કયો સ્રોત જુએ છે, અને કયા પ્રીફિક્સ તરફ પરત માર્ગે છે.

દરેક અપગ્રેડ પછી ફરી તપાસો

masquerade નું ડિફૉલ્ટ વર્તન એક વાર બદલાઈ ગયું છે, અને નોડ પૂલની જગ્યા ક્લસ્ટર નેટવર્કિંગ રીસેટ કરી શકે છે. સ્રોત કરારને ધારી લેવાની વસ્તુ નહીં, ચકાસવાની વસ્તુ તરીકે ગણો.

અપગ્રેડ પછી એક પોડમાંથી સ્થાનિક સેવા પર એક વિનંતી મોકલો અને પીઅર જે સ્રોત લૉગ કરે છે તે વાંચો. તે એક નિરીક્ષણ એવી રીગ્રેશન પકડે છે જે ટનલ સ્ટેટસ પૃષ્ઠ આનંદથી સ્વસ્થ તરીકે જાહેર કરશે. તેને પુનરાવર્તિત કરવામાં એક મિનિટ જાય છે અને આગલી વ્યક્તિની એક સાંજ બચે છે.

સંબંધિત લેખો