1.14 ನಂತರ GKE ಪಾಡ್ಗಳು VPN ಪ್ರವೇಶ ಕಳೆದುಕೊಂಡವು: ಮೂಲವನ್ನು ಸರಿಪಡಿಸುವ ಎರಡು ದಾರಿಗಳು

ಒಂದು ಅಪ್ಗ್ರೇಡ್ ಬರುತ್ತದೆ, ಮತ್ತು ಸುರಂಗದ ಆಚೆ ಇರುವ ವ್ಯವಸ್ಥೆಗಳು ಕಳೆದ ವಾರ ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ ಪಾಡ್ ಸಂಚಾರವನ್ನು ತಿರಸ್ಕರಿಸಲು ಆರಂಭಿಸುತ್ತವೆ. ಸುರಂಗ ಮೇಲಿದೆ, ಫೈರ್ ವಾಲ್ ನಿಯಮಗಳು ಮುಟ್ಟಿಲ್ಲ, ಮತ್ತು ಯಾರೂ ಪೀರ್ ನೀತಿಯನ್ನು ಸಂಪಾದಿಸಿಲ್ಲ. ಬದಲಾದದ್ದು ಕ್ಲಸ್ಟರ್ ಲಾಗ್ಗಳಲ್ಲಿ ಕಾಣದ್ದು: ಆ ವ್ಯವಸ್ಥೆಗಳು ಈಗ ನೋಡುವ ಮೂಲ ವಿಳಾಸ. ಈ ಅಂತರವು ನೆಟ್ವರ್ಕ್ ಕಡಿತದಂತೆ ಕಾಣುವ ಮತ್ತು ಅನುಮತಿ ಸಮಸ್ಯೆಯಂತೆ ವರ್ತಿಸುವ ವೈಫಲ್ಯವನ್ನು ವಿವರಿಸುತ್ತದೆ.

ಎರಡು ಸರಿಯಾದ ಉತ್ತರಗಳಿವೆ, ಮತ್ತು ಅವು ನಿಮ್ಮನ್ನು ಬೇರೆ ಬೇರೆ ಕಡೆ ಕರೆದೊಯ್ಯುತ್ತವೆ. ConfigMap ಸಂಪಾದಿಸುವ ಮೊದಲು ಮೂಲ ಒಪ್ಪಂದವನ್ನು ಆಯ್ಕೆಮಾಡಿ.

ಸ್ಥಾಪನೆಯಾಗುವುದನ್ನು ನಿಲ್ಲಿಸಿದ ಡೀಫಾಲ್ಟ್ ನಿಯಮ

ಹಳೆಯ GKE ಬಿಡುಗಡೆಗಳು masquerade ನಿಯಮವನ್ನು ಸ್ಥಾಪಿಸುತ್ತಿದ್ದವು, ಅದು ಗಮ್ಯಸ್ಥಾನ 10.0.0.0/8 ರ ಹೊರಗಿದ್ದಾಗ ಪಾಡ್ ಮೂಲಗಳನ್ನು ನೋಡ್ ವಿಳಾಸದಿಂದ ಬದಲಾಯಿಸುತ್ತಿತ್ತು. ಆ ವ್ಯಾಪ್ತಿಯೊಳಗಿನ VPN ಗೇಟ್ವೇ ಪಾಡ್ ವಿಳಾಸವನ್ನು ನೋಡುತ್ತಿತ್ತು, ಆದರೆ ಇನ್ನೂ ದೂರದ್ದು ನೋಡ್ನಿಂದ ಬಂದಂತೆ ಕಾಣುತ್ತಿತ್ತು. ಪೀರ್ಗಳು ನೋಡ್ ವಿಳಾಸಗಳ ಸುತ್ತ ಅನುಮತಿ ಪಟ್ಟಿಗಳನ್ನು ಮತ್ತು ಹಿಂತಿರುಗುವ ಮಾರ್ಗಗಳನ್ನು ನಿರ್ಮಿಸಿದರು, ಏಕೆಂದರೆ ಅವರು ಗಮನಿಸಿದ್ದು ಅದನ್ನೇ.

ನಂತರದ ಬಿಡುಗಡೆಗಳು ಆ ಡೀಫಾಲ್ಟ್ ನಿಯಮವನ್ನು ಸ್ಥಾಪಿಸುವುದನ್ನು ನಿಲ್ಲಿಸಿದವು. ಪಾಡ್ ಸಂಚಾರ ಈಗ ಗಮ್ಯಸ್ಥಾನ ಯಾವುದೇ ಇರಲಿ, ಪಾಡ್ ವಿಳಾಸಗಳೊಂದಿಗೆ ಗೇಟ್ವೇಗೆ ಬರುತ್ತದೆ. ಕೇವಲ ನೋಡ್ ವಿಳಾಸಗಳನ್ನು ಮಾರ್ಗನಿರ್ದೇಶಿಸುವ ಪೀರ್ ಪ್ರತ್ಯುತ್ತರಗಳನ್ನು ಬಿಡುತ್ತದೆ, ಮತ್ತು ಯಾವ ಪಕ್ಷವೂ ಉಪಯುಕ್ತ ಲಾಗ್ ನಮೂದನ್ನು ಬರೆಯುವುದಿಲ್ಲ. ವಿನಂತಿಯು ದೂರದ ತುದಿಯಲ್ಲಿ ಯಶಸ್ವಿಯೂ ಆಗಬಹುದು, ಮತ್ತು ಅದೇ ಈ ವೈಫಲ್ಯವನ್ನು ಬೆನ್ನಟ್ಟಲು ಗೊಂದಲಕರವಾಗಿಸುತ್ತದೆ.

ಸತ್ತ ಘಟಕದ ಅರ್ಥದಲ್ಲಿ ಏನೂ ಮುರಿದಿಲ್ಲ. ಎರಡು ಪಕ್ಷಗಳು ಯಾವ ಮೂಲ ಕಾನೂನುಬದ್ಧ ಎಂಬುದರ ಬಗ್ಗೆ ಸರಳವಾಗಿ ಒಪ್ಪುವುದಿಲ್ಲ.

ಪೀರ್ ನೋಡಬೇಕಾದ ಮೂಲವನ್ನು ಆಯ್ಕೆಮಾಡಿ

ಪಾಡ್ ವಿಳಾಸಗಳನ್ನು ಉಳಿಸಿಕೊಳ್ಳುವುದು ಹೆಚ್ಚು ನಿಖರವಾದ ಒಪ್ಪಂದ. ದೂರದ ಪಕ್ಷವು ಸಂಚಾರವನ್ನು ಉತ್ಪಾದಿಸಿದ ಕೆಲಸದ ಹೊರೆಯನ್ನು ನೋಡುತ್ತದೆ, ಲಾಗ್ಗಳು ಪ್ರಾಮಾಣಿಕವಾಗಿ ಉಳಿಯುತ್ತವೆ, ಮತ್ತು ಪ್ರತಿ ಪಾಡ್ಗೆ ನೀತಿ ಸಾಧ್ಯವಾಗುತ್ತದೆ. ಬೆಲೆ ಎಂದರೆ ಪೀರ್ ಪಾಡ್ ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಹೊತ್ತುಕೊಳ್ಳಬೇಕು.

ನೋಡ್ ವಿಳಾಸಗಳನ್ನು ಉಳಿಸಿಕೊಳ್ಳುವುದು ಅಗ್ಗದ ಒಪ್ಪಂದ. ಆ ಗಮ್ಯಸ್ಥಾನಕ್ಕೆ masquerade ಅನ್ನು ಮತ್ತೆ ಆನ್ ಮಾಡಿ, ಮತ್ತು ಪೀರ್ ತಾನು ಈಗಾಗಲೇ ನಂಬುವ ವಿಳಾಸವನ್ನು ನೋಡುತ್ತಲೇ ಇರುತ್ತದೆ.

ಒಂದು ಪ್ರಶ್ನೆ ಅವುಗಳ ನಡುವೆ ನಿರ್ಧರಿಸುತ್ತದೆ: ಪೀರ್ ಮೂಲದೊಂದಿಗೆ ಏನು ಮಾಡುತ್ತದೆ? ಅದು ಲಾಗ್ ಮಾಡಿದರೆ, ಪ್ರತಿ ಮೂಲಕ್ಕೆ ನೀತಿ ಅನ್ವಯಿಸಿದರೆ ಅಥವಾ ಸಂಕುಚಿತ ಹಿಂತಿರುಗುವ ಮಾರ್ಗವನ್ನು ಜಾರಿಗೊಳಿಸಿದರೆ, ಪಾಡ್ ವಿಳಾಸಗಳು ಹೆಚ್ಚುವರಿ ಸಂರಚನೆಯನ್ನು ಸಮರ್ಥಿಸುತ್ತವೆ. ಅದು ಪ್ರತ್ಯುತ್ತರಗಳನ್ನು ಕಳುಹಿಸಬೇಕಾದರೆ ಮಾತ್ರ, masquerade ಕಡಿಮೆ ವೆಚ್ಚವಾಗುತ್ತದೆ ಮತ್ತು ಇನ್ನೊಂದು ಪಕ್ಷದಿಂದ ಏನನ್ನೂ ಕೇಳುವುದಿಲ್ಲ. ಎರಡೂ ತಂಡಗಳು ಅದನ್ನು ಬರೆದಿಟ್ಟರೆ ಯಾವುದೇ ಆಯ್ಕೆ ಸಮರ್ಥನೀಯ.

ಮೂರನೇ ಆಯ್ಕೆ ಸಾಮಾನ್ಯವಾಗಿ ತಪ್ಪು: ಎಲ್ಲವನ್ನೂ masquerade ಮಾಡಿ ಸಂಚಾರವನ್ನು ಆರೋಪಿಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಕಳೆದುಕೊಳ್ಳುವುದು. ಪೀರ್ ನಿಜವಾಗಿಯೂ ನೋಡ್ ವಿಳಾಸಗಳಲ್ಲದೆ ಬೇರೆ ಯಾವುದನ್ನೂ ಮಾರ್ಗನಿರ್ದೇಶಿಸಲು ಸಾಧ್ಯವಾಗದ ಹೊರತು ಅದನ್ನು ತಪ್ಪಿಸಿ.

nonMasqueradeCIDRs ಅನ್ನು ನಿಜವಾದ ವ್ಯಾಪ್ತಿಗಳಿಗೆ ತೋರಿಸಿ

GKE kube-system ನಲ್ಲಿ ip-masq-agent ಅನ್ನು ಚಲಾಯಿಸುತ್ತದೆ, ಮತ್ತು ಅದರ ConfigMap masquerade ಅನ್ನು ಬಿಟ್ಟುಬಿಡುವ ಗಮ್ಯಸ್ಥಾನಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. ಸುರಂಗದ ಕಡೆಗೆ ಪಾಡ್ ಮೂಲಗಳನ್ನು ಕಾಪಾಡಲು ಪಾಡ್ ವ್ಯಾಪ್ತಿ, ನೋಡ್ ಉಪಜಾಲ ಮತ್ತು ಸ್ಥಳೀಯ ಪೂರ್ವಪ್ರತ್ಯಯ ಎಲ್ಲವೂ ಆ ಪಟ್ಟಿಗೆ ಸೇರುತ್ತವೆ.

ಮಾದರಿ ಮೌಲ್ಯಗಳನ್ನು ನಿಮ್ಮದೇ ಕ್ಲಸ್ಟರ್ನ ವ್ಯಾಪ್ತಿಗಳಿಂದ ಬದಲಾಯಿಸಿ. ಅಗತ್ಯಕ್ಕಿಂತ ಪಟ್ಟಿಯನ್ನು ಅಗಲಗೊಳಿಸಬೇಡಿ, ಏಕೆಂದರೆ ಪ್ರತಿ ಹೆಚ್ಚುವರಿ ನಮೂದು ಇನ್ನೊಂದು ಗಮ್ಯಸ್ಥಾನ ಏನನ್ನು ನೋಡುತ್ತದೆ ಎಂಬುದನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ. ಕೆಳಗಿನ ಮೂರು ನಮೂದುಗಳು ಪಾಡ್ ಜಾಲ, ನೋಡ್ ಉಪಜಾಲ ಮತ್ತು ಸುರಂಗದ ಹಿಂದಿನ ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಪ್ರತಿನಿಧಿಸುತ್ತವೆ:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

0.0.0.0/0 ನಮೂದು ಎಲ್ಲಾ ಗಮ್ಯಸ್ಥಾನಗಳಿಗೆ masquerade ಅನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ, ಇದು ಸಂಬಂಧವಿಲ್ಲದ ಕೆಲಸದ ಹೊರೆಗಳು ಬಾಹ್ಯ ಸೇವೆಗಳಿಗೆ ಹೇಗೆ ಕಾಣುತ್ತವೆ ಎಂಬುದನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ ಮತ್ತು ಅಪರೂಪವಾಗಿ ಉದ್ದೇಶಿತವಾಗಿರುತ್ತದೆ. ಏಜೆಂಟ್ ತನ್ನ ಸಂರಚನೆಯನ್ನು resyncInterval ನಲ್ಲಿ ಮತ್ತೆ ಓದುತ್ತದೆ, ಆದ್ದರಿಂದ ಮರುಪ್ರಾರಂಭ ಸಾಮಾನ್ಯವಾಗಿ ಅಗತ್ಯವಿಲ್ಲ. ಏಜೆಂಟ್ ಪಾಡ್ ಚಾಲನೆಯಲ್ಲಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ, ನಂತರ ಅದರೊಳಗಿನ ಮೌಂಟ್ ಆದ ಕಡತವನ್ನು ತೆರೆಯಿರಿ. ಆ ಕಡತವನ್ನು ಓದುವುದೇ ಬದಲಾವಣೆ ತಲುಪಿದೆ ಎಂಬುದನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.

ಪ್ರತ್ಯುತ್ತರದ ಮಾರ್ಗವೇ ಇನ್ನೊಂದು ಅರ್ಧ

masquerade ವಿನಂತಿಯ ಮೂಲವನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ, ಬೇರೆ ಏನನ್ನೂ ಅಲ್ಲ. ಪೀರ್ ಯಾವ ಮೂಲವನ್ನು ಸ್ವೀಕರಿಸಿದರೂ, ಅದಕ್ಕೆ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಇನ್ನೂ ಬೇಕು, ಮತ್ತು ಕ್ಲಸ್ಟರ್ಗೆ ಪೀರ್ನ ಕಡೆಗೆ ಮಾರ್ಗ ಇನ್ನೂ ಬೇಕು.

VPN ಗೇಟ್ವೇಯಲ್ಲಿ ಸೆರೆಹಿಡಿಯುವುದು ಎರಡು ವೈಫಲ್ಯಗಳನ್ನು ಬೇಗನೆ ಬೇರ್ಪಡಿಸುತ್ತದೆ. ಪಾಡ್ ವಿಳಾಸಗಳೊಂದಿಗೆ ಬಂದು ಎಂದಿಗೂ ಪ್ರತ್ಯುತ್ತರ ಪಡೆಯದ ಪ್ಯಾಕೆಟ್ಗಳು ಪೀರ್ ಬಳಿ ಪಾಡ್ ಪೂರ್ವಪ್ರತ್ಯಯಕ್ಕೆ ಮಾರ್ಗವಿಲ್ಲ ಎಂದು ಅರ್ಥ. ಗೇಟ್ವೇಯಲ್ಲಿ ಕಾಣಿಸಿಕೊಂಡು ಕ್ಲಸ್ಟರ್ ತಲುಪದ ಪ್ರತ್ಯುತ್ತರ ಸ್ಥಳೀಯ ಮಾರ್ಗ ಕಾಣೆಯಾಗಿದೆ ಎಂದು ಅರ್ಥ. ಯಾವುದೇ ಸಂದರ್ಭದಲ್ಲಿ ಒಪ್ಪಂದವನ್ನು ಟಿಕೆಟ್ನಲ್ಲಿ ಬರೆಯಿರಿ: ಪೀರ್ ಯಾವ ಮೂಲವನ್ನು ನೋಡುತ್ತದೆ, ಮತ್ತು ಯಾವ ಪೂರ್ವಪ್ರತ್ಯಯಕ್ಕೆ ಹಿಂತಿರುಗಿಸುತ್ತದೆ.

ಪ್ರತಿ ಅಪ್ಗ್ರೇಡ್ ನಂತರ ಮತ್ತೆ ಪರಿಶೀಲಿಸಿ

masquerade ನ ಡೀಫಾಲ್ಟ್ ನಡವಳಿಕೆ ಈಗಾಗಲೇ ಒಮ್ಮೆ ಬದಲಾಗಿದೆ, ಮತ್ತು ನೋಡ್ ಪೂಲ್ ಬದಲಾವಣೆ ಕ್ಲಸ್ಟರ್ ಜಾಲಬಂಧವನ್ನು ಮರುಹೊಂದಿಸಬಹುದು. ಮೂಲ ಒಪ್ಪಂದವನ್ನು ಊಹಿಸುವ ವಿಷಯವಲ್ಲ, ಪರಿಶೀಲಿಸುವ ವಿಷಯ ಎಂದು ಪರಿಗಣಿಸಿ.

ಅಪ್ಗ್ರೇಡ್ ನಂತರ ಒಂದು ಪಾಡ್ನಿಂದ ಸ್ಥಳೀಯ ಸೇವೆಗೆ ಒಂದು ವಿನಂತಿ ಕಳುಹಿಸಿ ಮತ್ತು ಪೀರ್ ಲಾಗ್ ಮಾಡುವ ಮೂಲವನ್ನು ಓದಿ. ಆ ಒಂದೇ ವೀಕ್ಷಣೆ ಸುರಂಗ ಸ್ಥಿತಿ ಪುಟ ಸಂತೋಷದಿಂದ ಆರೋಗ್ಯಕರ ಎಂದು ವರದಿ ಮಾಡುವ ರಿಗ್ರೆಶನ್ ಅನ್ನು ಹಿಡಿಯುತ್ತದೆ. ಅದನ್ನು ಪುನರಾವರ್ತಿಸಲು ಒಂದು ನಿಮಿಷ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ ಮತ್ತು ಮುಂದಿನ ವ್ಯಕ್ತಿಯ ಒಂದು ಸಂಜೆಯನ್ನು ಉಳಿಸುತ್ತದೆ.