Pod, түйүн же кластер: VPN sidecar чындыгында эмнени кайра багыттайт

Kubernetes Pod ичиндеги VPN sidecar жакшыраак жүрүм-турум менен хост деңгээлиндеги VPN сыяктуу көрүнөт, жана окшоштук ат мейкиндигинин чек арасында бүтөт. Бир Pod ичиндеги контейнерлер дарек жана порт мейкиндигин камтыган тармактык ат мейкиндигин бөлүшөт, ошондуктан маршруттарды жана саясатты орнотуучу sidecar колдонмонун пакеттери кайда бараарын чын эле өзгөртөт. Түйүндөгү башка Pod-дор үчүн эч нерсени өзгөртпөйт жана түйүндүн өз стегине тийбейт, эгер аны ошондой конфигурациялабасаңыз. Бул чек араны туура түшүнүү эмнени жайгаштыра аларыңызды жана эмнени текшерүү керектигин аныктайт. Төмөнкү бөлүмдөр муну ат мейкиндигинен тышкары карай ээрчийт.

Жалпы ат мейкиндиги, жалпы кесепеттер

Pod ичиндеги эки контейнер loopback аркылуу сүйлөшөт жана бирдей интерфейстерди көрөт, sidecar үлгүсүнүн жалпы иштешинин себеби ушул: колдонмого туннелдин бар экенин билүүнүн кереги жок, анткени ал чечкен маршрут ал колдонгон ат мейкиндигине орнотулган. Ошол эле касиет sidecarдын каталары колдонмонун каталары экенин билдирет. Өтө көп кармаган маршрут же туннелдин ичиндеги чечүүчүгө шилтеме кылган DNS өзгөртүү ошол Pod-догу ар бир процесске дароо колдонулат. Жалпы ат мейкиндигинде контейнер боюнча маршруттоо жок, ошондуктан sidecarды бир процесс менен чектөө мүмкүн эмес.

Бул карап чыгуу учурунда эсте турган механизм: таасир радиусу — Pod, түйүн эмес жана кластер эмес.

Sidecar жетпеген жер

Башка Pod-дор өз ат мейкиндиктерин жана өз маршруттоосун сактайт, ошондуктан ошол эле чыгууну талап кылган жүктөмгө ошол эле sidecar же анын ордуна түйүн деңгээлиндеги долбоор керек. Түйүндүн трафиги да Pod ат мейкиндигинен тышкары, ал эми хост тармагы бар Pod-дор бул обочолонуудан атайын толук баш тартышат. Ыңгайлуу нерсеге жетүү үчүн sidecarды хост тармагы менен иштетсеңиз, масштабды бир Pod-дон бүтүндөй түйүнгө кеңейттиңиз жана муну катуу айтуу керек.

Кластер кызматтарына трафик — дагы бир кеңири тараган таң калтыруу. Pod ичиндеги кенен демейки маршрут API серверине же ClusterIP кызматына арналган сурамдарды кармап калышы мүмкүн, анан алар туннел бузулгандай көрүнгөн түрдө ишке ашпай калат.

Маршрут планы: Pod, кызмат, түйүн жана VPN диапазондору

Төрт диапазонду жазып алыңыз жана бир нерсени жайгаштырганга чейин аларды кайчылашууга текшериңиз: Pod CIDR, кызмат CIDR, түйүн даректери жана VPNдин артындагы багыттар. VPNдин жеке диапазондору менен кластердин өз мейкиндигинин ортосундагы кайчылашуу сейрек эмес, жана демейки маршрут ага туура эмес чечим. Маршрут планы манифест менен бир репозиторийде болушу керек, анткени кийинки кластер таптакыр башка Pod жана кызмат диапазондорун бере алат.

DNS пландын бөлүгү, өзүнчө тынчсыздануу эмес. Чечүүчүнүн конфигурациясын кайра жазган sidecar кластер ичиндеги кызматтарды табууну буза алат, ал эми тышкы сурамдар мыкты иштейт.

Баштоо жана ишке ашпоо — ачык абалдар

Иштеп жаткан sidecar процесси чыгуу саясаты эмес. Туннел даяр болгонго чейин кайсы трафик ага аларын жана кийин ал өлсө эмне болорун чечиңиз, анан ошол чечимди ишке ашырыңыз: колдонмо контейнерин дарбазалаган зонд, демейки боюнча баш тарткан тармактык саясат же экөө тең. Алардын бири болбосо, колдонмо башталат, аттарды чечет жана туннел дагы эле туташып жатканда трафикти түйүндүн кадимки жолунан тышкары жиберет.

Бул алдыңкы ден соолугу чың кластерде кыска, бузулганда туруктуу, жана чабуулчу же кокустан маалымат агып кетиши так ушул касиетти жактырат.

Тартипти ишке ашпоо тести менен коштоп коюңуз. Sidecarды өлтүрүңүз жана колдонмо үнсүз артка чегинүүнүн ордуна өзүнүн көздөгөн чыгуусун жоготоорун ырастаңыз.

Мүмкүнчүлүктөр, саясаттар жана колдонмо контейнеринен тесттөө

Интерфейстерди түзүү жана маршруттарды өзгөртүү үчүн керектүү мүмкүнчүлүктөрдү берүү — артыкчылык жөнүндө чечим, жана обочолонгон Pod үчүн ылайыктуу артыкчылык түйүн стегинде автоматтык түрдө ылайыктуу боло бербейт. Кластер колдогон тармактык жана коопсуздук саясатынын механизмдерин колдонуңуз жана ар бир CNI же саясат ишке ашырылышы VPN интерфейсине бирдей мамиле кылат деп ойлобоңуз; айырмачылыктар так сизди кызыктырган ишке ашпоо учурларында көрүнөт.

Чыныгы колдонмо контейнеринен текшериңиз, жеке багытка, кластер кызматына жана ачык интернетке жаңы сурамдар менен. Sidecarдан жасалган тест туннелдин иштешин далилдейт, колдонмонун керектүү нерсеге жетүүсүн эмес.

Кластердин тармактык божомолдорун VPN конфигурациясынын жанында документтештириңиз. Ошондо жүктөмдү башка кластерге көчүрүү үнсүз иштөөнү токтоткон образдын өзгөрүүсү эмес, маршрут планын текшерүү көнүгүүсү болуп калат.