En VPN-Sidecar brauch eng Startregel an eng Fehlerregel

E Pod startet den Tunnelcontainer virun der Applikatioun an déi éischt Ufroe gelingen, an dat ass genau de Fall, deen de Problem verstoppt. D'Reiefolleg fixéiert eng Course a seet näischt iwwer den Trafic, deen d'Applikatioun véier Stonne méi spéit ufänkt, nodeems den Tunnel ausgefall ass. Dat sinn zwou getrennte Entscheedungen. Meeschtens gëtt nëmmen eng dovun designéiert.

D'Reiefolleg sperrt nëmmen déi éischt Ufro

Kubernetes ënnerstëtzt e Sidecar-Liewenszyklus aus nei startbaren Init-Containeren. An deem Modell kann eng Startprobe de nächsten Initialiséierungsschrëtt zréckhalen, bis den Tunnel Bereetschaft mëldet. Dat ass eng richteg Verbesserung, an et ass derwäert, se bewosst ze benotzen, amplaz en Sleep an en Entrypoint-Skript derbäizesetzen. D'Paart ass nëmme sou gutt wéi d'Bedingung, déi se testt.

Baussent deem Modell gehéiert d'Reiefolleg-Semantik zu där Runtime oder deem Ofhängegkeetssystem, deen Dir benotzt, an se mussen net iwwerenee stëmmen. Eng Deployement, déi vun enger anerer Plattform kopéiert gouf, kann ausgesinn, wéi wann et op den Tunnel waart, well d'Applikatioun zoufälleg lues start. Dat ass net déiselwecht Garantie, an et fällt ënner Laascht aus.

Sot, wat d'Paart observéiert: e Prozess existéiert, eng Interface existéiert, en Handshake ass fäerdeg. Jiddweree vun dësen ass eng méi schwaach Behauptung wéi „den Datenwee zu den Destinatiounen, déi dëse Pod brauch, funktionéiert“.

Erzwéngt den Datenwee, amplaz en unzehuelen

Eng Probe ass eng Kontroll zu engem Moment an eng Firewall ass eng Eegenschaft, déi tëschent Momenter gëllt. Wann d'Ufuerderung ass, dass den App-Trafic den Tunnel ni verléisst, muss se am gedeelte Netzwierk-Namespace als Akzeptéieren-oder-Verwerfen-Regel ausgedréckt ginn. D'Startreiefolleg vun de Containeren kann déi Ufuerderung net droen. Nëmmen eng Regel kann et.

D'Containeren an engem Pod deelen deen Namespace, also ass de Punkt vun der Duerchsetzung den Namespace selwer. Wat Dir och schreift, et muss dem Tunnel seng eege baussenzeg Verbindung disponibel loossen, well se ze blockéieren fir d'Applikatioun ze schützen de Wee ofschneit, deen d'Applikatioun brauch.

Entscheet d'Fehlerpolitik explizit: soll den App-Trafic komplett stoppen, wann den Tunnel net gesond ass, oder weiderlafen an als ongeschützt markéiert ginn? Béides ass vertrietbar, a keng vun hinnen ass dat, wat Dir kritt, wann Dir Containeren an enger bestëmmter Reiefolleg start.

Testt den Trafic, deen Dir net ernimmt hutt

Huelt eng nei Ufro während engem kontrolléierten Tunnelausfall a kuckt, ob se erausgeet. Widderhëlt dann d'Kontroll fir d'Weeër, déi en Ausgangsadress-Test ni beréiert: DNS-Opléisung am Cluster, IPv6-Destinatiounen an Déngschter, déi iwwer clusterintern Adressen amplaz vum ëffentlechen Internet erreecht ginn. Dat sinn d'Weeër, déi no dem Doud vum Tunnel roueg weiderfunktionéieren.

Eng Ausgangsadress-Säit beweist, dass eng Ufro dee Moment dohigang ass, wou Dir et erwaart hutt. Se kann déi aner Weeër net inventariséieren, an de Spalt tëschent deem, wat Dir getest hutt, an deem, wat de Pod erreeche kann, ass do, wou déi interessant Fehler liewen.

Widderhëlt den Test no engem Sidecar-Neistart an net nëmmen no engem proppere Start. En nei gestarte Tunnelcontainer kann den Namespace mat Routen a Politik an engem Tëschenzoustand hannerloossen.

Schreift den Deployements-Rekord

Dräi Fakten gehéieren an d'Deployementsnotizen: den Bereetschaftstest a wat en observéiert, d'Erhuelungsaktivitéit, wann deen Test feelt, an d'Duerchsetzungsregel, déi den Ausgang regeiert. D'Dokumentatioun zu Sidecar-Containeren deckt d'Liewenszyklusmechanik of an iwwerléisst Iech déi politesch Entscheedung. Dee Splitting ass richteg, an et ass och de Grond, firwat d'Politik meeschtens feelt.

En Gesondheetscheck, deen fir Schutz gehalen gëtt, ass déi deierst Aart gréngen Indikator, well en d'Leit ophält, Froen ze stellen. En an der Dokumentatioun richteg ze nennen kascht ee Saz a verhënnert dat.

Schlussendlech testt den Erhuelungswee eemol mat lafender Applikatioun. En Design, deen et erfuerdert, de Pod nei ze schafen, fir den Ausgang ze restauréieren, ass eng Entscheedung, an et soll eng sinn, déi Dir getraff hutt, net eng, déi Dir entdeckt hutt.