GKE поддору 1.14-төн кийин VPN жетүүнү жоготту: булакты оңдоонун эки жолу

1.14-төн кийин поддор VPN-ге өз дареги менен жетет, ошондуктан өнөктөштөр жоопторду таштайт. Булак келишимин тандап, анан nonMasqueradeCIDRs-ти ага ылайык коюңуз.

Жаңыртуу келет, жана туннелдин аркы тарабындагы системалар өткөн аптада иштеген под трафигин четке кага баштайт. Туннель көтөрүлгөн, firewall эрежелерине кол тийген эмес, жана эч ким өнөктөш саясатын оңдогон эмес. Өзгөргөн нерсе кластер журналдарында көрүнбөйт: ошол системалар азыр көрүп жаткан булак дареги. Бул ажырым тармактын үзүлүшүнө окшошуп, укук маселеси сыяктуу жүрүм-турум кылган бузулушту түшүндүрөт.

Эки туура жооп бар, жана алар сизди ар башка жерлерге алып барат. ConfigMap-ды оңдоодон мурун булак келишимин тандаңыз.

Орнотуу токтогон демейки эреже

GKE-нин мурунку чыгарылыштары masquerade эрежесин орнотчу, ал барар жери 10.0.0.0/8-ден тышкары болгондо под булактарын түйүн дареги менен алмаштырчу. Ошол диапазондун ичиндеги VPN дарбазасы под дарегин көрчү, ал эми андан алысыраак нерсе түйүндөн келгендей көрүнчү. Өнөктөштөр түйүн даректеринин айланасында уруксат тизмелерин жана кайтаруу маршруттарын курушкан, анткени алар байкаганы ошол эле.

Кийинки чыгарылыштар бул демейки эрежени орнотууну токтотушту. Под трафиги эми барар жери кандай болбосун, под даректери менен дарбазага жетет. Тек түйүн даректерин маршруттаган өнөктөш жоопторду таштайт, жана эки тарап тең пайдалуу журнал жазуусун жазбайт. Суроо түптө да ийгиликтүү болушу мүмкүн, жана бул бузулушту кууп жетүүнү татаалдаштырат.

Өлүк компонент маанисинде эч нерсе бузулган эмес. Эки тарап жөн гана кайсы булак мыйзамдуу экени боюнча макулдашпайт.

Өнөктөш көрүшү керек болгон булакты тандаңыз

Под даректерин сактоо такыраак келишим. Алыскы тарап трафикти жараткан жүктөмдү көрөт, журналдар чынчыл бойдон калат, жана ар бир под үчүн саясат мүмкүн болот. Баасы — өнөктөш под префиксин көтөрүүгө тийиш.

Түйүн даректерин сактоо арзаныраак келишим. Ошол барар жер үчүн masquerade-ти кайра күйгүзүңүз, ошондо өнөктөш мурунтан ишенген даректи көрүүнү улантат.

Бир суроо алардын ортосунда чечет: өнөктөш булак менен эмне кылат? Эгер ал журнал жазса, булак боюнча саясат колдонсо же тар кайтаруу маршрутун талап кылса, под даректери кошумча конфигурацияны актайт. Эгер ал жөн гана жооп жөнөтүүсү керек болсо, masquerade арзаныраак жана экинчи тараптан эч нерсе талап кылбайт. Эки команда тең жазып койсо, каалаган тандоо корголушу мүмкүн.

Үчүнчү вариант адатта ката: баарын masquerade кылып, трафикти байкоо мүмкүнчүлүгүнөн ажыроо. Эгер өнөктөш чын эле түйүн даректеринен башка эч нерсени маршруттай албаса, андан качыңыз.

nonMasqueradeCIDRs-ти чыныгы диапазондорго багыттаңыз

GKE kube-system ичинде ip-masq-agent-ти иштетет, жана анын ConfigMap-ы masquerade-тен өткөн барар жерлерди тизмелейт. Под булактарын туннелге карай сактоо үчүн под диапазону, түйүн ички тармагы жана жергиликтүү префикс баары ошол тизмеге кирет.

Үлгү маанилерди өз кластериңиздин диапазондору менен алмаштырыңыз. Тизмени талаптан кененирээк кылбаңыз, анткени ар бир кошумча жазуу башка барар жердин эмнени көрөрүн өзгөртөт. Төмөнкү үч жазуу под тармагын, түйүн ички тармагын жана туннелдин артындагы префиксти билдирет:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

0.0.0.0/0 жазуусу бардык барар жерлер үчүн masquerade-ти өчүрөт, бул байланышсыз жүктөмдөрдүн сырткы кызматтарга кандай көрүнүшүн өзгөртөт жана сейрек атайын жасалат. Агент конфигурациясын resyncInterval-де кайра окуйт, ошондуктан кайра баштоо адатта талап кылынбайт. Агент поду иштеп жатканын текшериңиз, анан анын ичиндеги бекитилген файлды ачыңыз. Ошол файлды окуу өзгөртүүнүн жеткенин далилдейт.

Жооп жолу — экинчи жарымы

Masquerade суроонун булагын өзгөртөт жана башка эч нерсени. Өнөктөш кандай булак албасын, ага кайра баруучу маршрут дагы эле керек, ал эми кластерге өнөктөшкө карай маршрут дагы эле керек.

VPN дарбазасындагы кармоо эки бузулушту тез ажыратат. Под даректери менен келип, эч качан жооп албаган пакеттер өнөктөштө под префиксине маршрут жок экенин билдирет. Дарбазада пайда болуп, кластерге эч качан жетпеген жооп жергиликтүү маршруттун жок экенин билдирет. Кандай болбосун келишимди билетке жазыңыз: өнөктөш кайсы булакты көрөт жана жоопту кайсы префикске кайтарат.

Ар бир жаңыртуудан кийин кайра текшериңиз

Masquerade-тин демейки жүрүм-туруму бир жолу өзгөргөн, жана түйүндөр пулун алмаштыруу кластер тармагын баштапкы абалга келтириши мүмкүн. Булак келишимине божомол катары эмес, текшерилүүчү нерсе катары мамиле кылыңыз.

Жаңыртуудан кийин поддон жергиликтүү кызматка бир суроо жөнөтүп, өнөктөш жазган булакты окуңуз. Ошол бир байкоо туннелдин статус баракчасы кубаныч менен ден соолуктуу деп билдире турган регрессияны кармайт. Аны кайталоо бир мүнөт алат жана кийинки адамдын бир кечин сактайт.

Тектеш макалалар