Pod-IP, ClusterIP oder internen Load Balancer fir VPN-Benotzer
Eng Pod-IP ass iwwer de VPN erreechbar, bis de Pod ersat gëtt. Vergläicht den direkten Pod-Zougrëff, ClusterIP an en internen Load Balancer, a wat jiddweree vun hinnen dir kascht.
Mat dem VPC CNI kann e Pod eng Adress aus dem VPC hunn, an e VPN-Benotzer mat der richteger Route kann se direkt erreechen. Doduercher schéngt den direkten Pod-Zougrëff déi einfachst Optioun ze sinn, an dat ass en och, bis de Pod ersat gëtt. D’Adress, un déi sech e Benotzer erënnert, soll zur Applikatioun gehéieren, net zu enger Replika. D’Vergläiche vun den dräi Entréeën kënnt dorobber eraus, wéi en Objet d’Adress besëtzt a wat muss weider funktionnéieren, wann d’Aarbechtslaascht sech beweegt.
Wielt éischt nom Liewenszyklus, duerno no deem, wat den Netz maache muss, fir den Entrée erreechbar ze maachen.
Dräi Entréeën, dräi Liewenszyklen
Eng Pod-IP gehéiert engem Pod: se gëtt mat him zougedeelt a fräiginn, wann en ophält. Eng ClusterIP gehéiert engem Service a si ass virtuell, si huet nëmmen do Sënn, wou d’Service-Routing vum Cluster existéiert. En internen Load Balancer gehéiert enger Cloud-Ressource, déi de Controller vum Cluster mat Backends programméiert. Dës Besëtzmodeller soen de Feeler viraus, deen dir kritt: eng verouderte Adress, en onerreechbaren Numm oder eng verouderte Backend-Meng.
Schreift de Verglach op, éier Dir wielt. Wann de Besëtzer an de Feeler benannt sinn, mécht d’Wiel sech meeschtens vun selwer.
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Direkten Pod-Zougrëff: nëtzlech, temporär
Den direkten Zougrëff ass wierklech nëtzlech fir eng kontrolléiert Iwwerpréiwung: een Administrateur, eng kuerz Sessioun, een bestëmmte Port. Mee et ass e schlechte Kontrakt fir Benotzer, well d’Adress en Implementatiounsdetail ass, dat sech bei all Rollout ännert. An eng dovun an engem Wiki festzehalen ass de Wee, wéi aus engem funktionéierende Service e Gerücht gëtt.
En invitéiert och bred Regelen. D’Erlaabnis fir een Administrateur, ee Pod z’erreechen, ass keng Erlaabnis fir all Adress am Subnetz vum Node, an et ass meeschtens déi zweet, déi geschriwwe gëtt.
ClusterIP: vum Design un de Cluster gebonnen
Eng ClusterIP funktionéiert, well d’Dataplane vum Cluster d’Routing dofir am Cluster programméiert. Vun engem Laptop um VPN heescht d’Adress näischt, ausser eppes stellt se bewosst aus. En Numm, deen op svc.cluster.local ophält, gehéiert zum Cluster-DNS, dofir gëtt eng Kopie op engem Client mat engem aneren Resolver en Numm, deen et net gëtt, amplaz engem Routing-Feeler.
ClusterIP bleift den richtegen Entrée fir Uruffer am Cluster, aner Aarbechtslaaschte mat abegraff. Et ass just keen Verëffentlechungsmechanismus fir Benotzer baussent der Routing-Domän vum Cluster.
Internen Load Balancer: de verëffentlechte Wee
En internen Load Balancer gëtt dir eng stabil privat Adress an en Numm, op deen deng eege Zone ka weisen, während de Controller d’Backend-Meng aktuell hält, wéi et den EKS-Leitfued zum Load Balancing beschreift. Dat ass den Entrée, dee gewéinlech Pod-Ersatz iwwerlieft, ouni datt een en Dokument beaarbecht. En kascht eng Cloud-Ressource, eng Controller-Konfiguratioun an eng Route vum VPN, an dat sinn déi Deeler, déi d’Leit ënnerschätzen.
Benotzt de Controller-Modell, deen de Cluster tatsächlech lafe léisst. Annotations, déi fir eng Integratioun geschriwwe goufen, gëllen net fir eng aner.
Wien d’Quelladress ass
Sécherheetsgruppen gesinn d’Quell, déi op hir Grenz kënnt, an dat kann de verbonnenen Client oder eng iwwersat Adress sinn, jee no VPN- an Load-Balancing-Wee. Op EC2-baséierten Nodes ierwen normal VPC-CNI-Poden standardméisseg d’Gruppe vun der ENI vum Node, während ënnerstëtzte Konfiguratiounen Pod-spezifesch Gruppen unde kënnen. Schreift Reegelen fir den dokumentéierte Wee, net fir eng ugeholl Laptop-Adress.
Halt den eegene Listener an d’Authentifizéierung vun der Applikatioun als getrennt Kontrollen. Eng Netzwierkregel, déi de Flux erlaabt, ass keng Autorisatiounsentscheedung a soll net esou behandelt ginn.
Wat de Benotzer ze ginn
Gitt de Benotzer en nom Service, net eng Adress. Verëffentlecht den Numm an der privater Zone, weist en op den internen Entrée, a test dann, andeems Dir ee Backend-Pod ersetzt, während e Client deeselwechten Numm opgehalen huet. Dëse Beweis test dee Charakter, dee wichteg ass: déi selwecht Applikatioun no engem Roudeployment z’erreechen.
Halt den direkten Pod-Zougrëff als dokumentéiert operationell Ausnam mat sengem eegene Beräich, wäit ewech vun de Benotzerinstruktiounen.