Pod IP, ClusterIP vagy belső terheléselosztó VPN-felhasználóknak
A Pod IP a VPN-en keresztül elérhető, amíg a Pod le nem cserélődik. Hasonlítsa össze a közvetlen Pod-hozzáférést, a ClusterIP-t és egy belső terheléselosztót, és hogy melyik mennyibe kerül.
A VPC CNI-vel egy Pod kaphat címet a VPC-ből, és a megfelelő útvonallal rendelkező VPN-felhasználó közvetlenül elérheti. Ez teszi a közvetlen Pod-hozzáférést a legegyszerűbb lehetőségnek látszani, és az is, amíg a Pod le nem cserélődik. A cím, amelyre egy felhasználó emlékszik, az alkalmazáshoz tartozzon, ne egy replikához. A három belépési pont összehasonlítása végső soron arra vezethető vissza, melyik objektum birtokolja a címet, és minek kell tovább működnie, amikor a munkaterhelés elmozdul.
Először életciklus szerint válasszon, majd aszerint, mit kell a hálózatnak tennie, hogy a belépési pont elérhető legyen.
Három belépési pont, három életciklus
A Pod IP-t a Pod birtokolja: vele együtt osztják ki, és a végén szabadul fel. A ClusterIP-t egy Service birtokolja, és virtuális, csak ott van értelme, ahol a fürt szolgáltatás-útvonalválasztása létezik. A belső terheléselosztót egy felhőerőforrás birtokolja, amelyet a fürt vezérlője backendekkel programoz. Ezek a tulajdonosi modellek előre jelzik a hibát, amelyet kapni fog: elavult cím, elérhetetlen név vagy elavult backendkészlet.
Írja le az összehasonlítást, mielőtt választ. Ha a tulajdonos és a hiba meg van nevezve, a választás általában magától megtörténik.
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Közvetlen Pod-hozzáférés: hasznos, ideiglenes
A közvetlen hozzáférés valóban hasznos egy ellenőrzött vizsgálathoz: egy rendszergazda, egy rövid munkamenet, egy adott port. A felhasználók számára azonban rossz szerződés, mert a cím olyan megvalósítási részlet, amely minden telepítésnél változik. És egy ilyen cím wikibe írása az az út, amelyen egy működő szolgáltatás pletykává válik.
Széles szabályokat is hív. Egy rendszergazda hozzáférése egy Podhoz nem engedély a csomópont alhálózatának minden címére, és általában az utóbbit írják le.
ClusterIP: tervezésénél fogva fürthöz kötött
A ClusterIP azért működik, mert a fürt adatsíkja a fürthöz programozza az útvonalválasztást. Egy VPN-en lévő laptopról a cím semmit sem jelent, hacsak valami nem teszi szándékosan elérhetővé. Az svc.cluster.local végződésű név a fürt DNS-éhez tartozik, ezért más feloldóval rendelkező kliensre másolva nem útvonalválasztási hiba, hanem nem létező név lesz belőle.
A ClusterIP marad a megfelelő belépési pont a fürthöz belüli hívók számára, beleértve más munkaterheléseket is. Egyszerűen nem közzétételi mechanizmus a fürt útvonalválasztási tartományán kívüli felhasználók számára.
Belső terheléselosztó: a közzétett útvonal
A belső terheléselosztó stabil privát címet és olyan nevet ad, amelyre a saját zónája mutathat, miközben a vezérlő naprakészen tartja a backendkészletet, ahogy az EKS terheléselosztási útmutatója leírja. Ez az a belépési pont, amely túlél egy szokásos Pod-cserét anélkül, hogy bárki dokumentumot szerkesztene. Egy felhőerőforrásba, egy vezérlőkonfigurációba és egy VPN-ből induló útvonalba kerül, és éppen ezeket a részeket értékelik alá az emberek.
Azt a vezérlőmodellt használja, amelyet a fürt ténylegesen futtat. Az egyik integrációhoz írt megjegyzések nem érvényesek a másikra.
Ki a forráscím
A biztonsági csoportok azt a forrást látják, amely a határukhoz érkezik, és ez a VPN- és terheléselosztási útvonaltól függően a csatlakozott kliens vagy egy lefordított cím lehet. Az EC2-alapú csomópontokon a szokásos VPC CNI Podok alapértelmezés szerint a csomópont ENI-csoportjait öröklik, míg a támogatott konfigurációk Pod-specifikus csoportokat csatolhatnak. A dokumentált útvonalhoz írjon szabályokat, ne egy feltételezett laptopcímhez.
Tartsa az alkalmazás saját figyelőjét és hitelesítését külön vezérlőkként. Az áramlást engedélyező hálózati szabály nem engedélyezési döntés, és nem is szabad annak tekinteni.
Mit adjon a felhasználóknak
Szolgáltatásnevet adjon a felhasználóknak, ne címet. Tegye közzé a nevet a privát zónában, mutasson vele a belső belépési pontra, majd tesztelje úgy, hogy lecserél egy backend Podot, miközben az ügyfél ugyanazt a nevet nyitva tartja. Ez a gyakorlat azt a tulajdonságot vizsgálja, amely számít: ugyanazt az alkalmazást elérni egy rutin telepítés után.
Tartsa a közvetlen Pod-hozzáférést saját hatókörű, dokumentált üzemeltetési kivételként, távol a felhasználói utasításoktól.