Pod, Node oder Cluster: wat eng VPN-Sidecar wierklech ëmleitet

Eng VPN-Sidecar an engem Kubernetes-Pod gesäit aus wéi eng VPN op Host-Niveau mat besseren Manéieren, an d'Ähnlechkeet hält op bei der Grenz vum Namespace. Containeren an engem Pod deelen den Netzwerk-Namespace, abegraff de Adress- a Portraum, dofir eng Sidecar, déi Route an Politik installéiert, ännert wierklech, wouhin d'Pakete vun der Applikatioun ginn. Fir déi aner Pods um Node ännert se näischt, an se beréiert de eigenen Stack vum Node net, ausser Dir konfiguréiert se esou. Dës Grenz richteg ze verstoen decidéiert souwuel, wat Dir kënnt deployen, wéi och, wat Dir musst testen. D'Sektiounen hei drënner verfollegen dat vum Namespace no baussen.

Gedeelten Namespace, gedeelte Konsequenzen

Zwee Containeren an engem Pod schwätzen iwwer Loopback a gesinn déiselwecht Interfaces, an dofir funktionéiert d'Sidecar-Muster iwwerhaapt: d'Applikatioun muss net wëssen, datt et en Tunnel gëtt, well d'Route, déi se opléist, am Namespace installéiert gouf, deen se benotzt. Déiselwecht Eegeschaft bedeit, datt d'Feeler vun der Sidecar d'Feeler vun der Applikatioun sinn. Eng Route, déi ze vill fänkt, oder eng DNS-Ännerung, déi op en Resolver bannen am Tunnel weist, gëllt direkt fir all Prozess an deem Pod. An engem gedeelten Namespace gëtt et keng Routing pro Container, dofir kann eng Sidecar net op ee Prozess limitéiert ginn.

Dat ass de Mechanismus, deen een beim Iwwerpréiwen am Kapp behale sollt: de Wierkungsradius ass de Pod, net den Node an net de Cluster.

Wou d'Sidecar net hikënnt

Aner Pods behalen hir eege Namespaces an hir eege Routing, dofir eng Aarbechtslaascht, déi deeselwechten Egress brauch, brauch déiselwecht Sidecar oder amplaz en Design op Node-Niveau. Den Traffic vum Node ass och baussen dem Pod sengem Namespace, an Pods mam Host-Netz wielen bewosst komplett op dës Isolatioun ze verzichten. Wann Dir d'Sidecar mam Host-Netz lafe léisst, fir uppen Éischte bequem ze erreechen, hutt Dir de Beräich vun engem Pod op den ganzen Node vergréissert an dat sollt Dir haart soen.

Den Traffic zu de Servicer vum Cluster ass déi aner heefeg Iwwerraschung. Eng breet Standardroute am Pod kann Ufroen afänken, déi fir den API-Server oder e ClusterIP-Service geduecht sinn, an déi falen dann op eng Manéier aus, déi ausgesäit wéi wann den Tunnel futti wier.

Routeplang: Pod-, Service-, Node- an VPN-Beräicher

Schreift déi véier Beräicher op a préift se op Iwwerlappung, ier Dir eppes deployt: Pod-CIDR, Service-CIDR, Node-Adressen an d'Ziler hannert der VPN. Iwwerlappung tëscht de private Beräicher vun der VPN an dem Cluster sengem eegenen Raum ass net seele, an eng Standardroute ass déi falsch Léisung dofir. De Routeplang gehéiert an deeselwechte Repository wéi de Manifest, well den nächsten Cluster ganz aner Pod- a Service-Beräicher verginn kann.

DNS ass Deel vum Plang an net eng separat Suerg. Eng Sidecar, déi d'Resolver-Konfiguratioun iwwerschreift, kann d'Service-Discovery am Cluster briechen, während extern Ufroen perfekt funktionéieren.

Start an Ausfall sinn ausdrécklech Zoustand

En lafende Sidecar-Prozess ass keng Egress-Politik. Entscheet, wéi en Traffic däerf fléissen, ier den Tunnel prett ass, a wat geschitt, wann en duerno stierft, an implementéiert dann déi Entscheedung: eng Probe, déi den App-Container gated, eng Netzpolitik, déi standardméisseg refuséiert, oder béides. Ouni eng dovun start d'Applikatioun, léist op a schéckt Traffic aus dem normale Wee vum Node eraus, während den Tunnel nach verbënnt.

Dës Lück ass kuerz an engem gesonde Cluster a permanent an engem futti, an dat ass genau d'Eegeschaft, déi en Ugräifer oder eng zoufälleg Dateléck virzitt.

Koppelt d'Reiefolleg un en Ausfalltest. Doutt d'Sidecar a bestätegt, datt d'Applikatioun hiren ugedaachten Egress verléiert, amplaz sech roueg zeréckzezéien.

Capacitéiten, Politiken an Tester vum App-Container aus

D'Capacitéiten ze ginn, déi néideg sinn, fir Interfaces ze schafen an Route z'änneren, ass eng Privilegie-Entscheedung, an eng Privilegie, déi fir en isoléierte Pod passt, passt net automatesch op den Node-Stack. Benotzt d'Mechanismen fir Netz- a Sécherheetspolitik, déi de Cluster ënnerstëtzt, a gitt net dovun aus, datt all CNI- oder Politik-Implementéierung eng VPN-Interface gläich behandelt; d'Ënnerscheeder weisen sech genee an deene Ausfäll, déi Iech wichteg sinn.

Test vum richtege App-Container aus, mat frëschen Ufroen un en privaten Zil, e Cluster-Service an dat ëffentlecht Internet. En Test vun der Sidecar aus beweist, datt den Tunnel funktionéiert, net datt d'Applikatioun erreecht, wat se brauch.

Dokumentéiert d'Netzvirgab vum Cluster nieft der VPN-Konfiguratioun. D'Aarbechtslaascht an en anere Cluster ze plënneren ass dann eng Übung am Iwwerpréiwe vum Routeplang amplaz eng Image-Ännerung, déi roueg ophält ze funktionéieren.