kubectl ba zai iya warware API na kluster mai zaman kansa ta OpenVPN ba

kubectl yana kasawa wajen neman suna yayin da tunel ɗin ke aiki kuma adireshin sirri na API yana amsa ping. Hanya tana nan daidai; abokin ciniki yana tambayar mai warwarewa wanda bai taɓa jin labarin yankin sirri na kluster ɗin ba. Ana amfani da gyare-gyare biyu fiye da kowane: tura mai warwarewar cibiyar sadarwa ta ƙirƙira zuwa kowane abokin ciniki na VPN, ko ɗaure sunan a wurin da shigarwar hosts ko mai tura na sharadi. Suna magance alamar cuta ɗaya da mallaka daban, kuma haɗa su shi ne yadda ƙungiyoyi suke gama gyaran fayilolin hosts a duk lokacin da aka sake gina ƙarshen.

Warwarewa da isa suna kasawa a matakai daban

Ka yi binciken da kanka kafin ka canza wani abu. getent hosts a Linux ko nslookup a Windows yana gaya maka ko abokin ciniki yana samun amsa ko a’a; ƙarewar lokaci ko NXDOMAIN yana nuni ga mai warwarewa, yayin da amsa da adireshin da ba daidai ba ke nuni ga tsohon rikodi ko ficewar jama’a.

Sannan tabbatar da wane uwar garke kubectl yake kira a zahiri. Yanayin kubeconfig yana adana URL, kuma hanyar VPN ba ta sake rubuta ta: idan yanayin ya ambaci ƙarshen jama’a, DNS na iya zama cikakke kuma umarnin ya kasa har yanzu.

getent hosts api.internal.example
kubectl config view --minify -o jsonpath='{.clusters[0].cluster.server}'
kubectl -v=8 get nodes 2>&1 | head -40

Alama ta uku ita ce siffar gazawar bayan binciken. Sunan da ya warware zuwa adireshin sirri sannan ya fuskanci ƙarewar lokacin TCP matsala ce ta bango ko cibiyar sadarwa mai izini. Sunan da ya warware zuwa adireshin jama’a yana nufin tambayar ta tsere daga yankin sirri. Ka raba waɗannan sakamako uku; kowanne yana tura ka ga mai mallaka daban.

Zaɓi A: tura mai warwarewar cibiyar sadarwa ta ƙirƙira cikin tunel

Lokacin da uwar garken VPN yana aiki a cikin cibiyar sadarwa ta ƙirƙira, abokan ciniki za su iya amfani da mai warwarewa ɗaya da uwar garken. A cikin OpenVPN Community uwar garken tana tura zaɓin DNS; Access Server yana nuna wannan saitin a cikin fuskar gudanarwa, kuma abokan ciniki dole su sake sauke bayanin domin umarnin DNS yana tafiya a cikinsa.

# server.conf
push "dhcp-option DNS 10.0.0.4"
push "route 10.0.0.4 255.255.255.255"

Layin hanya yana da muhimmanci a bayanan tunel raba. Tura adireshin mai warwarewa ba daidai yake da sa shi isa ba: idan yankin kluster ɗin kaɗai ke bi ta tunel, tambayar zuwa 10.0.0.4 tana fita ta LAN na gida kuma tana mutuwa. Tura hanyar baƙi ga mai warwarewa, ko saka yankinsa cikin tunel.

Bangaren karɓa ma yana da manufa. Mai warwarewa da ake isa daga kewayon adireshin abokin ciniki zai iya ƙin tambayoyi daga gare shi, kuma yankin sirri da ke da alaƙa da cibiyar sadarwa ta ƙirƙira yana amsa kawai abokan ciniki da suka zo ta hanyar DNS na wannan cibiyar. Idan binciken ya ƙare bayan tura, duba tarihin mai warwarewa da kansa kafin ka sake taɓa abokin ciniki.

A kan abokin ciniki, tabbatar da abin da aka yi amfani da shi: resolvectl status a Linux na systemd-resolved, scutil --dns a macOS, ipconfig /all a Windows. Uwar garken DNS da aka tura wanda bai taɓa bayyana ba yana nufin ba a sake loda bayanin ba.

Zaɓi B: shigarwar hosts da turawa ta sharadi

Shigarwar hosts ita ce mafi ƙanƙantar gyara kuma mafi rauni. Tana haɗa suna ɗaya da adireshi ɗaya a kan na’ura ɗaya, don haka tana aiki don nunawa kuma tana karyewa lokacin da aka sake gina ƙarshen sirri ko IP ɗinsa. Har ila yau tana ɓoye ainihin gibin ga sauran ƙungiyar.

Mai tura na sharadi yana girma mafi kyau ba tare da tura DNS ga kowane abokin ciniki ba. dnsmasq na iya tura yanki ɗaya zuwa mai warwarewar VNet kuma ya bar duk sauran: server=/cluster.internal/10.0.0.4. DNS na Windows yana da masu tura na sharadi, kuma abokan cinikin Windows za su iya amfani da dokar NRPT don wannan rabo. Mai tura har yanzu yana buƙatar hanya zuwa mai warwarewar VNet.

Turawa tana riƙe bincike na yau da kullum a gida, wanda ke da muhimmanci a tunel raba. Har ila yau tana ba ka wuri ɗaya don rubuta tambayoyin yankin sirri, da wuri ɗaya da zai karye lokacin da mai tura ya ƙaura.

Zaɓa bisa mallaka, ba bisa sauƙi ba

Tura mai warwarewa idan kana sarrafa bayanin VPN kuma kana son kowane sunan sirri ya yi aiki, ba API kaɗai ba. Zaɓi mai tura idan abokan ciniki dole su riƙe DNS na gida don duk sauran, ko idan wata ƙungiya ce ke kula da VPN ba kluster ɗin ba.

Shigarwar hosts bincike ne, ba turawa ba. Yi amfani da ɗaya don tabbatar da cewa API yana isa, sannan cire shi kuma gyara hanyar mai warwarewa; barin shi a wurin yana mai da tambayar hanya zuwa farautar taska daga baya. Ko wane zaɓi ka zaɓa, rubuta yankin, adireshin mai warwarewa da hanyar da ke ɗaukar tambayar.

Gwada ƙarshen API, ba sunan kaɗai ba

Da zarar binciken ya yi nasara, ɗauki ƙarshen sigar API da CA na kluster. curl --cacert ca.crt https://api.internal.example:6443/version yana raba gazawar TLS da izini daga DNS. 403 yana nufin suna da haɗi suna aiki kuma asalin ba ya aiki.

Kuma duba ko kewayon adireshin abokin ciniki ana barin shi da cibiyoyin sadarwa masu izini ko bango na kluster. Kluster masu zaman kansu galibi suna karɓar zirga-zirgar API daga VNet ko kewayon abokan tarayya kawai, don haka tunel da ke ba da adireshi daga wani tafki yana haɗuwa a matakin cibiyar sadarwa kuma ana jefar da shi a API.

Rubuta abubuwa huɗu idan kana ƙara matakin: mai warwarewar da abokin ciniki ya yi amfani da shi, adireshin da ya mayar, URL na uwar garke a cikin yanayin kubeconfig da aka zaɓa, da aikin farko da ya kasa. Wannan rikodin yana gaya wa injiniya na gaba ko ya canza DNS, hanya ko manufar bango, kuma yana dakatar da gyaran fayil ɗin hosts na gaba.

Fara da binciken, zaɓi hanyar mai warwarewa da ta dace da wanda ya mallaki yankin, sannan tabbatar da ƙarshen. Idan ukun sun wuce, matsalar da ta rage ita ce izini, ba warware suna ba.