VPN na Pod a Kubernetes da ƙofar fita: wanene ya mallaki rami?

Kuna tura Pod mai suna vpn-gateway, kuna nuna abokin ciniki na gwaji zuwa adireshinsa, kuma kuna ganin fakiti suna ɓacewa. Babu abin da ba daidai ba a cikin manifest kuma kubelet ba shi da wani ƙorafi. Dalilin tsari ne ba saiti ba: Kubernetes yana ba kowane Pod nasa sararin sunan cibiyar sadarwa, don haka suna, alama ko haɗaɗɗen sararin sunan API ba su canza kome game da inda fakiti suke tafiya. Don haka shawarar yadda zirga-zirgar VPN ke barin gungu tana farawa da tambaya kan mallaka, ba kan hotunan kwantena ba.

Hanyoyi biyu suna rufe yawancin turawa na gaske, kuma ba za a iya musanya su ba. Ɗaya yana sanya ramin cikin sararin sunan cibiyar sadarwar aikin da kansa. Ɗayan yana neman CNI ya karkatar da zaɓaɓɓen zirga-zirga ta hanyar nodal ƙofa da aka naɗa. Suna gazawa daban, suna girma daban kuma suna amsa ga ƙungiyoyi daban, wanda shine dalilin da yasa tambayar kwantena yawanci ke haifar da muhawara da ba ta ƙarewa.

Iyakar Pod ita ce sararin suna, ba mai masaukin tsalle ba

Sararin sunan cibiyar sadarwar Linux yana mallakar mu’amalolinsa, adireshinsa, hanyoyinsa da dokokin wutar bango, kuma kowane Pod yana samun ɗaya. Kwantena a cikin wannan Pod suna shiga cikinsa, kuma wannan shine ainihin dalilin da yasa kwantena mai taimako zata iya sake rubuta hanyoyin da aikace-aikacen ke bi. Pod maƙwabci yana da tari mai kama da juna amma ya bambanta gaba ɗaya. Babu wani tebur da aka raba da Pod ƙofa zai gado, kuma babu isar da zirga-zirga a fakaice daga wannan sararin suna zuwa wani.

Wannan kuma shine dalilin da yasa tsarin Pod-ƙofa ke aiki ne kawai da zarar wani abu a sama yana aika fakiti zuwa gare shi: Service, hanyar tsaye a kan nodal, ko manufar karkatacciyar hanya a cikin CNI. Adireshi shi kaɗai ba ya jan kome.

Abin da rami ga kowane Pod ke saya, da abin da yake ci

Ramin da ke gudana a cikin sararin sunan aikin yana ba wannan aikin asalinsa na abokin ciniki, wanda yawancin sabis na shiga nesa ke buƙata kafin su ba da izini ko lissafin zama. Yankin lalacewa kuma yana zama na gida: karyayyen rami yana kashe Deployment ɗaya maimakon hanyar da aka raba da kowa ke amfani da ita. Yadda yake gudana ya dogara da aiwatarwa, kuma anan ne mutane suke yin kuskuren hasashe.

Saitin da ke buƙatar yanayin kernel kawai zai iya ƙarewa a cikin kwantena init sannan ya fita. Daemon na sararin mai amfani wanda dole ya rayu tsawon rayuwar Pod yana buƙatar sigar kwantena init da za a iya sake farawa wadda aka gabatar a matsayin sidecar na asali a Kubernetes 1.29, kuma wannan bambanci ya fito ne daga aiwatar da rami ba daga ɗanɗano ba. Farashin wannan tsari shine kwafi: kowane replica yana tabbatarwa, yana samun nasa adireshin rami kuma yana cinye ramin zama na nesa, don haka abin da ya faru na autoscaling ya zama abin da ya faru na iya aiki a ɗayan gefen hanyar. Kwafin shaida ɗaya cikin duk replicas ba ya kawar da wannan farashi, yana kawar da hanyar dubawa. Ikon kuma ya cancanci wannan nazari, domin ramin da ke son NET_ADMIN a cikin nasa sararin suna ba shi da dalilin gado ikon dukan masauki na misalin privileged: true.

Lokacin da CNI ke mallakar fita

Idan CNI ya goyi bayan hakan, ƙofar fita tana zaɓar zirga-zirga ta aikin da kewayon manufa, sannan ta aika ta cikin zaɓaɓɓun nodoji a ƙarƙashin adireshin tushe ɗaya da za a iya hasashe. Sigar Cilium ita ce abin da aka saba nuni, kuma takardunsa sun bayyana sarai cewa fasalin yana buƙatar takamaiman saitin Cilium tare da nodojin ƙofa da aka tanada da madaidaitan mu’amaloli da adireshi. Ya kuma ambaci lokacin farko bayan ƙirƙirar Pod lokacin da ba a aiwatar da karkatarwa ba tukuna, wanda shine shigarwar ƙira ba bayanin ƙasa ba.

Karanta wannan jinkirin a kan alkawarin ku. Idan ka’ida ita ce babu zirga-zirgar da za ta iya fita ta wata hanya, sabon Pod da ke aikawa yayin ratar ya riga ya karya ta, don haka jerin farawa yana buƙatar nasa amsar: riƙe aikace-aikacen har sai an aiwatar da manufar, ko karɓi taga kuma rubuta ta.

Riƙe da’awar a taƙaice. Ƙofar fita tana zaɓar hanya kuma tana fassara ta. Ba ta ƙare VPN ba, kuma ba ta mayar da gungu abokin ciniki na cibiyar sadarwarka ta nesa ba tare da haɗin da aka goyi bayan a bayanta ba.

Fassarar tana canza abin da gefen nesa ke gani a hankali

Da zarar ƙofar ta sake rubuta tushen, adireshin kowane Pod sun tafi, don haka jerin izini da aka danganta da asali ya zama jerin da aka danganta da adireshi ɗaya da aka raba. Wannan musanya ce ba aibi ba: ƙananan dokoki don kulawa, ƙarin ƙima idan wani abu ya yi mugu.

Tabbatarwa a matakin aikace-aikace da rikodin buƙatun dole su ɗauki abin da cibiyar sadarwa ba ta bayar da rahoto ba kuma. Kula da iyawar ƙofa da maye gurbinta a matsayin kayan more rayuwa da aka raba, domin sake kunna nodal ɗaya yanzu yana katse kowane aiki a bayansa, kuma duba hanyar dawowa da wuri: ƙarshen nesa dole ya san yadda zai isa adireshin da aka fassara, yawanci ta hanyar hanya ko NAT wanda mutum, ba manifest ba, dole ya mallaka. Tsare-tsaren adireshi ma suna nan, domin kewayon gungu da na nesa da suka yi karo suna karya kowane tsari kuma ɗaukar IPv6 ba uzuri ba ne ga shirin da ya saba.

Yanke shawara bisa mallaka, sannan gwada gazawar da ka yi alkawari

Zaɓi ramin ga kowane Pod lokacin da sabis na nesa ke tabbatar da ayyuka ɗaya-ɗaya, lokacin da Deployment kaɗan ne kawai ke buƙatar hanyar, da lokacin da gazawa ya kamata ta kasance ta gida. Zaɓi ƙofar lokacin da ƙungiyar cibiyar sadarwa ta riga ta mallaki hanyar, lokacin da ayyuka da yawa ke raba manufa ɗaya, da lokacin da tsayayyen adireshin tushe shine dukkan manufar aikin.

Ko ta yaya, tabbatar da dukiyar da ka sayar ba yanayin tsayayye ba. Ƙirƙiri Pod, bar shi ya aika nan take kuma kalli sakanun farko idan alkawarin shine babu abin da ke tserewa daga ramin. Ɗaga zuwa replicas biyar kuma ƙidaya zaman da ƙarshen nesa ke bayarwa idan alkawarin asali ne ga kowane aiki. Waɗannan bincike biyu suna bayyana iyakokin injin da sauri fiye da bitar manifest, kuma suna gaya maka wace ƙungiya ce ta mallaki abin da zai faru na gaba.