Pod-VPN a Kubernetes géint Egress-Gateway: wiem gehéiert den Tunnel?

Dir setzt e Pod mam Numm vpn-gateway op, riicht e Testclient op seng Adress a kuckt wéi d’Paketen verschwannen. Näischt am Manifest ass falsch an de kubelet huet näischt ze bekloen. De Grond ass strukturell an net konfigurativ: Kubernetes gëtt all Pod säin eegene Netzwerk-Namespace, dofir ännert en Numm, e Label oder en gedeelten API-Namespace näischt dorun, wou d’Paketen higinn. Dofir fänkt d’Decisioun, wéi VPN-Trafic de Cluster verléisst, mat enger Fro iwwer d’Eegentum un, net iwwer Container-Images.

Zwou Mechanismen decken déi meescht reell Deployementer an si net austauschbar. Déi eng setzt den Tunnel an den eegene Netzwerk-Namespace vun der Aarbechtslaascht. Déi aner freet den CNI, ausgewielten Trafic duerch en definéierten Gateway-Knuet ze leeden. Si fale verschiddelech aus, skaléiere verschiddelech an äntweren verschiddene Teams, an dofir produzéiert d’Containerfro meeschtens Diskussiounen, déi ni opgehale ginn.

Eng Pod-Grenz ass en Namespace, keen Spranghost

En Linux-Netzwerk-Namespace besëtzt seng Interfaces, Adressen, Routen a Firewall-Reegelen, an all Pod kritt eng. D’Containeren an deem Pod gehéieren dozou, an dat ass genee firwat en Hëllefscontainer Routen ëmschreiwe kann, deenen d’Applikatioun duerno follegt. En Nopesch-Pod huet en identesch ausgesinn, awer komplett getrennte Stack. Et gëtt keng gedeelt Tabell, déi e Gateway-Pod ierwe kann, an keng implizit Iwwergab vun Trafic vun engem Namespace an en aneren.

Dofir funktionéiert de Gateway-Pod-Muster nëmmen, wa bäiwe eppes tatsächlech Paketen dohinner schéckt: e Service, eng statesch Route um Knuet oder eng Steierungsrichtlinn am CNI. Eng Adress eleng zitt näischt un.

Wat en Tunnel pro Pod bréngt, a wat en kascht

En Tunnel, deen am Namespace vun der Aarbechtslaascht leeft, gëtt där Aarbechtslaascht hir eege Client-Identitéit, déi vill Fernzougrëffsservicer verlaangen, ier se eng Sessioun autoriséieren oder ofrechnen. De Schuedradius bleift och lokal: en ënnerbrache Tunnel schalt een Deployment aus amplaz vum gedeelte Wee, deen alles benotzt. Wéi en leeft hänkt vun der Implementatioun of, an hei schätzen d’Leit falsch.

Eng Ariichtung, déi nëmmen Kernelzoustänn brauch, kann an engem init-Container ophalen an erausgoen. En Userspace-Daemon, deen iwwer d’Liewensdauer vum Pod lieweg bleiwe muss, brauch déi nei startbar init-Containerform, déi als native Sidecar a Kubernetes 1.29 agefouert gouf, an dësen Ënnerscheed kënnt aus der Tunnelimplementatioun an net aus Geschmack. De Präis vun dësem Modell ass Duplikatioun: all Replika authentifizéiert sech, kritt seng eegen Tunneladress a verbraucht eng Fernsessiounsplaz, sou datt en Autoscaling-Evenement en Kapazitätsevenement op der anerer Säit vun der Verbindung gëtt. Eng eenzeg Umeldungsinformatioun an all Replika ze kopéieren entfernt dee Präis net, et entfernt den Audit-Trail. Berechtegungen verdéngen déi selwecht Prüfung, well en Tunnel, deen NET_ADMIN an sengem eegenen Namespace wëll, kee Grond huet, d’Autoritéit iwwer de ganzen Host aus engem Beispill mat privileged: true ze ierwen.

Wann den CNI den Egress besëtzt

Wann den CNI et ënnerstëtzt, wielt en Egress-Gateway den Trafic no Aarbechtslaascht a Zilberäich an schéckt en dann duerch ausgewielte Kniet ënner enger viraussobarer Quelladress. D’Versioun vu Cilium ass déi üblech Referenz, an hir Dokumentatioun seet kloer, datt d’Funktioun eng spezifesch Cilium-Konfiguratioun plus Gateway-Kniet erfuerdert, déi mat de richtege Schnëttstellen an Adressen ausgestatt sinn. Se ernimmt och eng Ufanksperiod no der Pod-Erstellung, an där d’Steierung nach net duerchgesat gëtt, wat en Design-Input ass an net eng Foussnout.

Liest dës Verzögerung géint Är eegen Verspriechung. Wann d’Reegel ass, datt keen Trafic iwwer en anere Wee erausdierf, huet en neie Pod, deen an der Lück schéckt, se schonn gebrach, dofir brauch d’Startsequenz hir eege Äntwert: d’Applikatioun zréckhalen, bis d’Politik gëllt, oder d’Fënster akzeptéieren an dokumentéieren.

Halt d’Behaaptung enk. En Egress-Gateway wielt an iwwersetzt en Wee. En ennt keng VPN a mécht de Cluster net zu engem Client vun Ärem Fernnetz ouni eng ënnerstëtzte Verbindung hannendrun.

D’Iwwersetzung ännert roueg, wat déi fern Säit gesäit

Soubal de Gateway d’Quell ëmschreift, sinn d’Adressen pro Pod fort, dofir gëtt eng Erlaabnislëscht op Basis vun Identitéit eng Lëscht op Basis vun enger gedeelter Adress. Dat ass en Tausch an net e Feeler: manner Reegele fir ze ënnerhalen, méi graff Zouuerdnung, wann eppes sech schlecht behëlt.

Authentifikatioun op Applikatiounsniveau a Request-Logging mussen droen, wat den Netz net méi mëttelt. Behandelt Gateway-Kapazitéit an -Ersatz als gedeelt Infrastruktur, well en eenzege Knuet-Reboot elo all Aarbechtslaascht hannendrun ënnerbrécht, a kontrolléiert de Réckwee fréi: déi fern Enn muss wëssen, wéi se déi iwwersat Adress erreecht, meeschtens iwwer eng Route oder NAT, déi e Mënsch, net e Manifest, besëtze muss. Adressplanung gehéiert och heizou, well iwwerlappend Cluster- a Fernberäicher béid Modeller briechen an IPv6 ze adoptéieren entschëllegt keen anere Plang net.

Entscheet no Eegentum, a testt dann de Feeler, deen Dir versprach hutt

Wielt den Tunnel pro Pod, wann de Fernservice eenzel Aarbechtslaaschte authentifizéiert, wann nëmmen e puer Deployment de Link brauchen, a wann e Feeler lokal soll bleiwen. Wielt de Gateway, wann en Netzwierkteam de Wee schonn huet, wann vill Aarbechtslaaschte een Zil deelen, a wann eng stabil Quelladress den ganze Punkt vun der Übung ass.

Wéi och ëmmer, verifizéiert d’Eegeschaft, déi Dir verkaaft hutt, an net de stationären Zoustand. Erstellt e Pod, loosst en direkt schécken a kuckt déi éischt Sekonnen, wann d’Verspriechung war, datt näischt aus dem Tunnel entkënnt. Skaléiert op fënnef Replika a zielt d’Sessiounen, déi déi fern Enn mëttelt, wann d’Verspriechung Identitéit pro Aarbechtslaascht war. Dës zwou Kontrollen decken d’Grenze vum Mechanismus vill méi séier op wéi eng Iwwerpréiwung vum Manifest, an si soen Iech, wéi engem Team den nächsten Incident gehéiert.