Me ya sa kubectl ke aiki ta VPN amma AKS ya daina ƙara girma

Kuna ƙara adireshin jama'a na VPN na ofis a cikin jerin izini na uwar garken AKS API, kuma kubectl yana aiki. Bayan mako ɗaya, ƙara girman node pool ya gaza, aikin CI ba zai iya isa ga gungu ba, kuma tashar yanar gizo tana nuna kuskure wanda bai ambaci komai game da yankunan IP ba. Babu wanda ya canza jerin izini. Ikon da kuka kunna shine matatar IP ta jama'a a gaban uwar garken API, kuma bai san wanda ke kira ba, kawai ya san daga wace adireshi kiran ya zo. VPN adireshi ɗaya ne daga cikin da yawa da gungu ke buƙata, kuma ba kasafai ne shine farkon da ke karyewa ba.

Jerin izini yana daidaita adireshi, ba mutum ba

--api-server-authorized-ip-ranges yana karɓar tubalan CIDR, ba masu amfani ko ƙungiyoyi ba. Lokacin da buƙatar mai haɓakawa ta bar uwar garken VPN zuwa Azure, adireshin tushe a uwar garken API shine fitowar jama'a ta uwar garken VPN. Don haka kowa a wannan VPN yana raba shiga ɗaya, kuma duk wanda ke wajen VPN ana ƙin sa kafin tabbatarwa ta ma faru.

Wannan kuma yana nufin shigar tana ba da izinin mutane fiye da yadda kuke nufi. ɗan kwangila da ke da damar VPN, kwamfutar tafi-da-gidanka ta sirri a kan wannan mai tattarawa, da asusu da aka lalata duk suna zuwa daga adireshi ɗaya. Izinin gungu bai canza ba, don haka sarrafa shiga bisa matsayi har yanzu yana yanke shawara abin da mai kira zai iya yi, amma jerin izini ba kula da ainihi ba ne kuma bai kamata a taɓa siffanta shi haka ba.

Abin da ke fara karyewa yawanci ba kubectl ba ne

Jerin izini yana aiki ga ƙarshen jama'a na uwar garken API, don haka duk abin da ke wajen adireshin da kuka jera yana daina aiki nan take. Waɗanda suka fi shafa sune ofis na biyu da ba shi da hanyar VPN, mai gudanar da CI a cikin bututun da aka ɗauka, da kwamfutar tafi-da-gidanka da ta manta da haɗawa. Waɗannan ana iya gane su cikin sauƙi saboda mutum yana jira.

Wanda ba shi da bayyanannu shine aikin atomatik da Azure ko kayan aikinku ke tafiyar da shi. Wasu ayyukan da dandamali ke farawa suna isa uwar garken API daga adireshin da ba VPN ɗinku ba, kuma lokacin da ɗaya daga cikinsu ya fara gaza kai tsaye bayan an tsaurara jerin, lokaci shine alamar. Kada ku ɗauka jerin ya cika saboda shiga na hulɗa yana aiki; duba abin da fasalin ke buƙata ga yankinku da biyan kuɗin ku kafin ku yanke shawarar cewa gungu ya lalace.

Alamar gazawa tana taimakawa. Idan buƙatar ba ta taɓa isa ga tabbatarwa ba, matatar ce. Idan ta tabbatar sannan ta sami kuskuren izini, matatar ta yi aikinta kuma matsalar tana cikin sarrafa shiga bisa matsayi, wanda jerin izini ba ya taɓa shi.

Gina dukan jerin da umarni ɗaya

Ma'aunin sabuntawa yana maye gurbin dukan jerin maimakon ƙara shiga, don haka umarnin da ke ɗauke da adireshin VPN kawai yana watsar da duk abin da ke can a hankali. Da farko karanta darajar yanzu, adana ta, sannan aika haɗin:

az aks show -g rg-app -n aks-prod \
  --query apiServerAccessProfile.authorizedIpRanges -o tsv

az aks update -g rg-app -n aks-prod \
  --api-server-authorized-ip-ranges 203.0.113.10/32,198.51.100.0/24

Yi amfani da IP ta jama'a da aka tanada don uwar garken VPN kafin ka dogara da wannan. Adireshin mai canzawa yana canzawa yayin sake haɗawa, kuma kowane canji yana kulle ƙungiyar a wajen gungu a hankali har sai wani ya sabunta jerin daga cibiyar sadarwa da har yanzu an ba da izini. Idan kuna da wuraren fita VPN biyu don sakewa, jera duka biyun, domin matatar ba ta da ra'ayi na hanyar da aka fi so.

Tsara canjin don ƙoƙarin izini na farko ya zama gwajin ma. Sanar da sabon jerin, yi amfani da shi, kuma haɗa daga VPN nan take; yin haka a jere na daban yana barin taga inda babu wanda zai iya isa uwar garken API don gyara kuskuren buga a cikin tubalin CIDR.

Abin da jerin izini bai taɓa rufewa ba

Ba ya mai da uwar garken API na sirri. Gungu na sirri yana amfani da ƙarshen sirri da DNS na sirri, kuma jerin yankunan da aka ba da izini ba shine ikon da zai maye gurbinsa ba. Hakanan ba ya canza abin da mai kira da aka yarda zai iya yi, don haka kubeconfig na admin da ya ɓace har yanzu yana aiki daga kowane adireshi da aka yarda. Ka ɗauki takardar shaidar a matsayin iyakar tsaro da jerin a matsayin sauƙin cibiyar sadarwa.

Ba shi da alaƙa da nauyin aiki. Pods da Services suna ci gaba da aiki tare da jerin a kunne, kuma isa ga aikace-aikace ta VPN wata matsala ce daban: Service da ke da IP na gungu kawai har yanzu yana buƙatar mai daidaita nauyi na ciki, ingress ko port-forward kafin kwamfutar tafi-da-gidanka ta iya buɗe shi. Haɗa waɗannan ƙira biyu yana samar da tikitin canji wanda ke da'awar ya takaita masu haɓakawa kuma a zahiri ba ya takaita komai game da aikace-aikacen.

Tabbatar daga ɓangarori biyu, sannan gudanar da aiki ɗaya na gaske

Gwada da sabon abokin ciniki a kan VPN da kuma abokin ciniki a wajenta. Ya kamata a ƙi ƙoƙarin daga waje a uwar garken API, ba a warware suna ba; idan sunan bai warware ba, kana gwada DNS kuma ba ka koyi komai game da matatar ba. Sannan gudanar da aiki wanda ba kiran kubectl na hulɗa ba, kamar ƙara girman node pool ko duba haɓakawa, kuma tabbatar ya kammala maimakon ɗauka zai yi.

Ajiye darajar jerin da ta gabata kusa da canjin, kuma sake karanta darajar mai aiki bayan sabuntawa maimakon amincewa da umarnin da aka buga. takardun AKS game da yankunan IP da aka ba da izini suna jera ma'aunai da aka tallafa da buƙatun dandamali waɗanda suke cikin wannan jerin, kuma wannan shine ɓangaren da yawancin kwatancin tikiti ke barin.