Pod, hnútur eða klasi: hvað VPN-sidecar beinir í raun og veru

VPN-sidecar í Kubernetes-Pod lítur út eins og VPN á hýsilþrepi með betri siði, og líkindin enda á mörkum nafnrýmisins. Ílát í einum Pod deila netnafnrýminu, þar á meðal vistfangs- og gáttarrýminu, svo sidecar sem setur upp leiðir og stefnu breytir í raun hvert pakkar forritsins fara. Það breytir engu fyrir aðra Poda á hnútnum og snertir ekki eigin stafla hnútsins nema þú stillir það þannig. Að skilja þessi mörk rétt ræður bæði því sem þú getur sett upp og því sem þú verður að prófa. Kaflarnir hér fyrir neðan fylgja þessu frá nafnrýminu og út.

Sameiginlegt nafnrými, sameiginlegar afleiðingar

Tvö ílát í Pod tala saman um loopback og sjá sömu viðmót, og þess vegna virkar sidecar-mynstrið yfirhöfuð: forritið þarf ekki að vita af göng, því leiðin sem það leysir liggur í nafnrýminu sem það notar. Sama eiginleiki þýðir að mistök sidecarsins eru mistök forritsins. Leið sem grípur of mikið, eða DNS-breyting sem vísar á leysir inni í göngunum, gildir strax fyrir hvert ferli í þeim Pod. Í sameiginlegu nafnrými er engin leiðarstýring á hvert ílát, svo ekki er hægt að takmarka sidecar við eitt ferli.

Þetta er aðferðin sem gott er að hafa í huga við yfirferð: áhrifasvæðið er Podið, ekki hnúturinn og ekki klasinn.

Það sem sidecar nær ekki til

Aðrir Podar halda sínum nafnrýmum og sinni leiðarstýringu, svo vinnuálag sem þarf sömu útleið þarf sama sidecar eða að öðrum kosti hönnun á hnútaþrepi. Umferð hnútsins er líka utan nafnrýmis Podsins, og Podar með hýsilnet kjósa viljandi að sleppa þessari einangrun algjörlega. Ef þú keyrir sidecarið með hýsilneti til að ná í eitthvað þægilegt hefur þú víkkað umfangið frá einu Podi yfir á allan hnútinn og ættir að segja það upphátt.

Umferð til þjónustu klasans er hin algenga óvænta. Breið sjálfgefin leið inni í Podinu getur gripið beiðnir sem eru ætlaðar API-þjóninum eða ClusterIP-þjónustu, og þær mistakast svo á þann hátt að út litur út eins og göngin séu bilað.

Leiðaáætlun: Pod-, þjónustu-, hnúta- og VPN-bil

Skrifaðu niður fjögur bilin og athugaðu skörun þeirra áður en þú setur eitthvað upp: Pod-CIDR, þjónustu-CIDR, vistföng hnútsins og áfangastaðir bak við VPN. Skörun milli einkabila VPN og eigin rýmis klasans er ekki sjaldgæf, og sjálfgefin leið er ranga lausnin á því. Leiðaáætlunin á heima í sama geymslu og skjalið, því næsti klasi getur úthlutað gjörólíkum Pod- og þjónustubilum.

DNS er hluti áætlunarinnar en ekki sérstakt áhyggjuefni. Sidecar sem endurskrifar stillingar leysisins getur brotið þjónustuuppgötvun inni í klasanum á meðan ytri uppflettingar virka fullkomlega.

Ræsing og bilun eru skýr stöður

Keyrandi sidecar-ferli er ekki útleiðarstefna. Ákveðið hvaða umferð má streyma áður en göngin eru tilbúin og hvað gerist ef þau deyja síðar, og framkvæmið svo þá ákvörðun: prófun sem hleður íláti forritsins, netstefna sem synjar sjálfgefið, eða hvort tveggja. Án annars hvors hefst forritið, leysir og sendir umferð út fyrir venjulega leið hnútsins á meðan göngin eru enn að tengjast.

Þetta bil er stutt í heilbrigðum klasa og varanlegt í biluðum, og það er einmitt eiginleikinn sem árásarmaður eða óviljandi gagnaleki kýs.

Paraðu röðina við bilunarprófun. Drepðu sidecarið og staðfestu að forritið missi ætlaða útleið í stað þess að hörfa hljóðlega.

Hæfni, stefnur og prófun frá íláti forritsins

Að veita þá hæfni sem þarf til að búa til viðmót og breyta leiðum er ákvörðun um forréttindi, og forréttindi sem henta einangruðu Podi henta ekki sjálfkrafa á stafla hnútsins. Notaðu net- og öryggisstefnumál klasans sem hann styður og gerðu ekki ráð fyrir að hver CNI- eða stefnuframkvæmd meðhöndli VPN-viðmót á sama hátt; munurinn kemur fram einmitt í þeim bilunartilvikum sem þér er annt um.

Prófaðu frá raunverulegu íláti forritsins, með nýjum beiðnum til einkalegs áfangastaðar, þjónustu í klasanum og hins opinbera internets. Prófun frá sidecarnu sannar að göngin virki, ekki að forritið nái því sem það þarf.

Skjalfestu netforsendur klasans við hlið VPN-stillingarinnar. Að flytja vinnuálagið í annan klasa er þá æfing í að athuga leiðaáætlunina frekar en myndbreyting sem hættir hljóðlega að virka.