Pod IP, ClusterIP vai iekšējais slodzes līdzsvarotājs VPN lietotājiem
Pod IP ir maršrutējams VPN ietvaros, līdz Pod tiek aizstāts. Salīdziniet tiešu piekļuvi Pod, ClusterIP un iekšējo līdzsvarotāju, un to, cik katrs no tiem jums izmaksā.
Ar VPC CNI Pod var iegūt adresi no VPC, un VPN lietotājs ar pareizu maršrutu var tam piekļūt tieši. Tāpēc tieša piekļuve Pod šķiet vienkāršākais variants, un tā arī ir, līdz Pod tiek aizstāts. Adresei, ko lietotājs atceras, vajadzētu piederēt lietotnei, nevis kopijai. Trīs ieeju salīdzinājums galu galā izpaužas kā tas, kurš objekts pārvalda adresi un kam jāturpina darboties, kad darba slodze pārvietojas.
Vispirms izvēlieties pēc dzīves cikla, pēc tam pēc tā, kas tīklam jādara, lai ieeja būtu sasniedzama.
Trīs ieejas, trīs dzīves cikli
Pod IP pieder Pod: tas tiek piešķirts kopā ar to un atbrīvots, kad tas beidzas. ClusterIP pieder Service, un tas ir virtuāls, tam ir nozīme tikai tur, kur pastāv klastera pakalpojumu maršrutēšana. Iekšējo līdzsvarotāju pārvalda mākoņa resurss, ko klastera kontrolieris programmē ar aizmugurējām sastāvdaļām. Šie īpašumtiesību modeļi paredz kļūmi, ko saņemsiet: novecojušu adresi, nesasniedzamu nosaukumu vai novecojušu aizmugurējo sastāvdaļu kopu.
Pierakstiet salīdzinājumu pirms izvēles. Kad īpašnieks un kļūme ir nosaukti, izvēle parasti izdarās pati.
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Tieša piekļuve Pod: noderīga, pagaidu
Tieša piekļuve patiešām ir noderīga kontrolētai pārbaudei: viens administrators, viena īsa sesija, viens konkrēts ports. Bet lietotājiem tā ir slikta vienošanās, jo adrese ir ieviešanas detaļa, kas mainās katrā izvietošanā. Un tās ierakstīšana viki ir veids, kā strādājošs pakalpojums pārvēršas baumās.
Tas arī aicina uz plašiem noteikumiem. Viena administratora atļauja sasniegt vienu Pod nav atļauja katrai adresei mezgla apakštīklā, un parasti tiek ierakstīta tieši otrā.
ClusterIP: pēc dizaina ierobežots ar klasteri
ClusterIP darbojas tāpēc, ka klastera datu plakne programmē tam maršrutēšanu klastera iekšienē. No portatīvā datora VPN adrese neko nenozīmē, ja vien kaut kas to apzināti neatklāj. Nosaukums, kas beidzas ar svc.cluster.local, pieder klastera DNS, tāpēc tā kopēšana uz klientu ar citu atrisinātāju dod nevis maršrutēšanas kļūdu, bet neesošu nosaukumu.
ClusterIP joprojām ir pareizā ieeja klastera iekšējiem izsaucējiem, tostarp citām darba slodzēm. Tas vienkārši nav publicēšanas mehānisms lietotājiem ārpus klastera maršrutēšanas domēna.
Iekšējais slodzes līdzsvarotājs: publicētais ceļš
Iekšējais slodzes līdzsvarotājs sniedz stabilu privātu adresi un nosaukumu, uz kuru var norādīt jūsu zona, kamēr kontrolieris uztur aktuālu aizmugurējo sastāvdaļu kopu, kā apraksta EKS slodzes līdzsvarošanas rokasgrāmata. Šī ir ieeja, kas pārdzīvo parastu Pod nomaiņu bez dokumenta rediģēšanas. Tā izmaksā mākoņa resursu, kontroliera konfigurāciju un maršrutu no VPN, un tieši šīs daļas cilvēki novērtē par zemu.
Izmantojiet to kontroliera modeli, ko klasteris faktiski izpilda. Anotācijas, kas rakstītas vienai integrācijai, neattiecas uz citu.
Kas ir avota adrese
Drošības grupas redz avotu, kas nonāk pie to robežas, un tas var būt pievienotais klients vai tulkota adrese atkarībā no VPN un slodzes līdzsvarošanas ceļa. Uz EC2 balstītos mezglos parastie VPC CNI Pod pēc noklusējuma manto mezgla ENI grupas, savukārt atbalstītās konfigurācijas var pievienot Pod specifiskas grupas. Rakstiet noteikumus dokumentētajam ceļam, nevis pieņemtai portatīvā datora adresei.
Turiet pašas lietotnes klausītāju un autentifikāciju kā atsevišķas kontroles. Tīkla noteikums, kas atļauj plūsmu, nav autorizācijas lēmums, un pret to nevajadzētu izturēties kā pret tādu.
Ko nodot lietotājiem
Dodiet lietotājiem pakalpojuma nosaukumu, nevis adresi. Publicējiet nosaukumu privātajā zonā, norādiet to uz iekšējo ieeju un pēc tam pārbaudiet, aizstājot aizmugurējo Pod, kamēr klients tur atvērtu to pašu nosaukumu. Šis vingrinājums pārbauda īpašību, kas ir svarīga: sasniegt to pašu lietotni pēc parastas izvietošanas.
Turiet tiešu piekļuvi Pod kā dokumentētu operatīvu izņēmumu ar savu tvērumu, tālu no lietotājiem paredzētajām instrukcijām.