Pod IP, ClusterIP կամ ներքին բալանսավորիչ VPN օգտվողների համար
Pod IP-ն երթուղելի է VPN-ով, քանի դեռ Pod-ը չի փոխարինվել։ Համեմատեք Pod-ին ուղիղ հասանելիությունը, ClusterIP-ն և ներքին բալանսավորիչը, և թե դրանցից յուրաքանչյուրը ձեզ ինչ արժե։
VPC CNI-ով Pod-ը կարող է հասցե ստանալ VPC-ից, և ճիշտ երթուղի ունեցող VPN օգտվողը կարող է ուղղակիորեն հասնել դրան։ Դա Pod-ին ուղիղ հասանելիությունը դարձնում է ամենապարզ տարբերակը, և այդպես էլ կա, քանի դեռ Pod-ը չի փոխարինվել։ Այն հասցեն, որը հիշում է օգտվողը, պետք է պատկանի հավելվածին, ոչ թե կրկնօրինակին։ Երեք մուտքերի համեմատությունը հանգում է նրան, թե որ օբյեկտն է տիրապետում հասցեին և ինչ պետք է շարունակի աշխատել, երբ աշխատանքային բեռը տեղափոխվի։
Ընտրեք նախ ըստ կյանքի ցիկլի, ապա ըստ այն բանի, թե ինչ պետք է անի ցանցը, որպեսզի մուտքը հասանելի դառնա։
Երեք մուտք, երեք կյանքի ցիկլ
Pod IP-ն պատկանում է Pod-ին՝ հատկացվում է նրա հետ և ազատվում, երբ այն ավարտվում է։ ClusterIP-ն պատկանում է Service-ին և վիրտուալ է, իմաստ ունի միայն այնտեղ, որտեղ գոյություն ունի կլաստերի ծառայությունների երթուղավորում։ Ներքին բալանսավորիչը պատկանում է ամպային ռեսուրսի, որը կլաստերի կոնտրոլերը ծրագրավորում է backend-ներով։ Այս սեփականության մոդելները կանխատեսում են այն խափանումը, որը դուք կստանաք՝ հնացած հասցե, անհասանելի անուն կամ հնացած backend-ների հավաքածու։
Գրեք համեմատությունը նախքան ընտրելը։ Երբ սեփականատերն ու խափանումը անվանված են, ընտրությունը սովորաբար ինքն իրեն է կատարվում։
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Ուղիղ հասանելիություն Pod-ին՝ օգտակար, ժամանակավոր
Ուղիղ հասանելիությունը իսկապես օգտակար է վերահսկվող ստուգման համար՝ մեկ ադմինիստրատոր, մեկ կարճ սեսիա, մեկ կոնկրետ պորտ։ Բայց օգտվողների համար դա վատ պայմանագիր է, քանի որ հասցեն իրականացման մանրամասն է, որը փոխվում է յուրաքանչյուր տեղակայման ժամանակ։ Իսկ այն վիքիում գրանցելը այն ճանապարհն է, որով աշխատող ծառայությունը վերածվում է լուրերի։
Այն նաև հրավիրում է լայն կանոնների։ Մեկ ադմինիստրատորի թույլտվությունը մեկ Pod-ին հասնելու համար թույլտվություն չէ հանգույցի ենթացանցի բոլոր հասցեների համար, և սովորաբար գրվում է երկրորդը։
ClusterIP՝ ըստ նախագծման սահմանափակված կլաստերով
ClusterIP-ն աշխատում է, որովհետև կլաստերի dataplane-ը դրա համար երթուղավորում է ծրագրավորում կլաստերի ներսում։ VPN-ի վրա գտնվող նոթբուքից հասցեն ոչինչ չի նշանակում, եթե ինչ-որ բան այն միտումնավոր չի բացահայտում։ svc.cluster.local-ով ավարտվող անունը պատկանում է կլաստերի DNS-ին, ուստի այն այլ լուծիչ ունեցող հաճախորդ պատճենելը ստեղծում է գոյություն չունեցող անուն, այլ ոչ թե երթուղավորման սխալ։
ClusterIP-ն մնում է ճիշտ մուտքը կլաստերի ներսի կանչողների համար, ներառյալ այլ աշխատանքային բեռները։ Այն պարզապես հրապարակման մեխանիզմ չէ կլաստերի երթուղավորման տիրույթից դուրս գտնվող օգտվողների համար։
Ներքին բալանսավորիչ՝ հրապարակված ուղին
Ներքին բալանսավորիչը տալիս է ձեզ կայուն մասնավոր հասցե և անուն, որին ձեր սեփական գոտին կարող է մատնանշել, մինչդեռ կոնտրոլերը backend-ների հավաքածուն արդիական է պահում, ինչպես նկարագրում է EKS-ի բեռնվածքի հավասարակշռման ուղեցույցը։ Սա այն մուտքն է, որը դիմանում է սովորական Pod-ի փոխարինմանը՝ առանց որևէ մեկի փաստաթուղթ խմբագրելու։ Այն արժե ամպային ռեսուրս, կոնտրոլերի կարգավորում և ուղի VPN-ից, և հենց այդ մասերն են, որ մարդիկ թերագնահատում են։
Օգտագործեք այն կոնտրոլերի մոդելը, որը կլաստերն իրականում գործարկում է։ Մեկ ինտեգրացիայի համար գրված անոտացիաները չեն կիրառվում մյուսի վրա։
Ով է աղբյուր հասցեն
Անվտանգության խմբերը տեսնում են այն աղբյուրը, որը հասնում է իրենց սահմանին, և դա կարող է լինել միացված հաճախորդը կամ թարգմանված հասցե՝ կախված VPN-ի և բեռնվածքի հավասարակշռման ուղուց։ EC2-ի վրա հիմնված հանգույցներում սովորական VPC CNI Pod-երը լռելյայն ժառանգում են հանգույցի ENI խմբերը, մինչդեռ աջակցվող կարգավորումները կարող են կցել Pod-ին հատուկ խմբեր։ Կանոններ գրեք փաստաթղթավորված ուղու համար, ոչ թե ենթադրված նոթբուքի հասցեի։
Պահեք հավելվածի սեփական լսիչը և նույնականացումը որպես առանձին վերահսկիչներ։ Հոսքը թույլատրող ցանցային կանոնը լիազորման որոշում չէ և չպետք է այդպես դիտվի։
Ինչ տալ օգտվողներին
Օգտվողներին տվեք ծառայության անուն, ոչ թե հասցե։ Հրապարակեք անունը մասնավոր գոտում, ուղղեք այն ներքին մուտքին, ապա ստուգեք՝ փոխարինելով backend Pod-ը, մինչ հաճախորդը նույն անունը բաց է պահում։ Այդ վարժությունը ստուգում է այն հատկությունը, որը կարևոր է՝ հասնել նույն հավելվածին սովորական տեղակայումից հետո։
Պահեք Pod-ին ուղիղ հասանելիությունը որպես սեփական ծավալով փաստաթղթավորված գործառնական բացառություն՝ օգտվողների ցուցումներից հեռու։