GKE-pod misstu VPN-aðgang eftir 1.14: tvær leiðir til að laga upprunann

Uppfærsla kemur og kerfi hinum megin við göngin byrja að hafna pod-umferð sem virkaði í síðustu viku. Göngin eru uppi, eldveggjarreglurnar eru ósnortnar og enginn breytti stefnu jafningsins. Það sem breyttist er ósýnilegt í kladdaskrám klasans: upprunavistfangið sem þessi kerfi sjá núna. Þetta bil útskýrir bilun sem lítur út eins og netrof og hegðar sér eins og heimildavandamál.

Tvö gild svör eru til og þau leiða þig á mismunandi staði. Veldu upprunasamninginn áður en þú breytir ConfigMap.

Sjálfgefna reglan sem hætt var að setja upp

Eldri GKE-útgáfur settu upp masquerade-reglu sem skipti út uppruna poda fyrir vistfang hnútsins hvenær sem áfangastaðurinn var utan 10.0.0.0/8. VPN-gátt innan þess sviðs sá vistfang podsins, en allt sem var fjær virtist koma frá hnútnum. Jafningjar byggðu leyfislista og endurkoma-leiðir í kringum hnútvistföng því það var það sem þeir sáu.

Síðari útgáfur hættu að setja upp þá sjálfgefnu reglu. Pod-umferð kemur nú að gáttinni með pod-vistföngum, hver sem áfangastaðurinn er. Jafningi sem beinir aðeins hnútvistföngum hendir svörunum og hvorugt hliðin skrifar gagnlega kladdafærslu. Beiðnin getur jafnvel heppnast hinum megin, og það er það sem gerir bilunina ruglingslega að elta.

Ekkert er brotið í skilningi dauðrar einingar. Hinar tvær hliðar eru einfaldlega ósammála um hvaða uppruni er lögmætur.

Veldu upprunann sem jafninginn á að sjá

Að halda pod-vistföngum er nákvæmari samningurinn. Fjarlæga hliðin sér vinnuálagið sem framleiddi umferðina, kladdan helst heiðarleg og stefna fyrir hvert pod verður möguleg. Verðið er að jafninginn verður að bera pod-forskeytið.

Að halda hnútvistföngum er ódýrari samningurinn. Kveiktu aftur á masquerade fyrir þann áfangastað og jafninginn heldur áfram að sjá vistfang sem hann treystir þegar.

Ein spurning ræður milli þeirra: hvað gerir jafninginn við upprunann? Ef hann kladdar, beitir stefnu fyrir hvern uppruna eða krefst þröngrar endurleiðar réttlæta pod-vistföngin aukastillinguna. Ef hann þarf bara að senda svör kostar masquerade minna og biður hina hliðina um ekkert. Hvort valið sem er ver þess að taka ákvörðunina ef bæði teymin skrifa hana niður.

Þriðji valkosturinn er yfirleitt mistök: masquerade allt og missa getuna til að rekja umferð. Forðastu hann nema jafningi geti í raun ekki beint öðru en hnútvistföngum.

Beindu nonMasqueradeCIDRs að raunverulegu sviðunum

GKE keyrir ip-masq-agent í kube-system og ConfigMap hans listar áfangastaðina sem sleppa masquerade. Til að varðveita uppruna poda í átt að göngunum tilheyra pod-sviðið, undirnet hnútsins og staðbundið forskyrtið öll þeim lista.

Skiptu út dæmisgildunum fyrir sviðum úr þínum eigin klasa. Ekki gera listann breiðari en krafan segir til um, því hver auka-færsla breytir því sem einhver annar áfangastaður sér. Færslurnar þrjár hér að neðan tákna pod-netið, undirnet hnútsins og forskyrtið bak við göngin:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

Færsla 0.0.0.0/0 slökkvir á masquerade fyrir alla áfangastaði, sem breytir því hvernig ótengd vinnuálag líta út fyrir utanaðkomandi þjónustur og er sjaldan viljandi. Agentinn les stillinguna sína aftur á resyncInterval, svo endurræsing er yfirleitt óþörf. Athugaðu hvort pod agentsins keyri og opnaðu síðan skrána sem er tengd inn í hann. Það að lesa þá skrá er það sem sannar að breytingin komst í gegn.

Svaraleiðin er hinn helmingurinn

Masquerade breytir uppruna beiðninnar og engu öðru. Hvaða uppruna sem jafninginn fær þarf hann enn leið til baka til hans, og klasinn þarf enn leið í átt að jafningnum.

Eldveggsupptaka á VPN-gáttinni aðgreinir bilunirnar tvær hratt. Pakkar sem koma með pod-vistföngum og fá aldrei svar þýða að jafningnum vantar leið fyrir pod-forskeytið. Svar sem birtist á gáttinni en nær aldrei klasanum þýðir að staðbundna leiðin vantar. Skrifaðu samninginn í miðann hvort sem er: hvaða uppruna jafninginn sér og hvaða forskyrti hann beinir til baka.

Athugaðu aftur eftir hverja uppfærslu

Sjálfgefin hegðun masquerade hefur þegar breyst einu sinni og skipti á hnútaþyrpingu getur endurstillt net klasans. Líttu á upprunasamninginn sem eitthvað sem á að sannreyna en ekki sem eitthvað sem má gera ráð fyrir.

Eftir uppfærslu skaltu senda eina beiðni frá podi til staðbundinnar þjónustu og lesa upprunann sem jafninginn kladdar. Þessi eina athugun grípur afturför sem stöðusíða ganganna myndi glaðlega tilkynna sem heilbrigða. Að endurtaka hana kostar eina mínútu og sparar næsta manni eitt kvöld.