Яагаад kubectl VPN-ээр ажилладаг ч AKS масштаблахаа болидог вэ

Та оффисын VPN-ийн нийтийн хаягийг AKS API серверийн зөвшөөрөгдсөн жагсаалтад нэмэхэд kubectl ажилладаг. Долоо хоногийн дараа node pool-ийн масштаблалт бүтэлгүйтэж, CI ажил кластерт хүрч чадахгүй, портал IP мужийн талаар юу ч дурдаагүй алдаа харуулна. Зөвшөөрөгдсөн жагсаалтыг хэн ч өөрчлөөгүй. Таны идэвхжүүлсэн хяналт бол API серверийн өмнөх нийтийн IP шүүлтүүр бөгөөд хэн дуудаж байгааг мэдэхгүй, зөвхөн дуудлага аль хаягаас ирснийг мэднэ. VPN нь кластерт хэрэгтэй хэд хэдэн хаягийн нэг бөгөөд хамгийн түрүүнд эвдрэх нь тэр байх нь ховор.

Зөвшөөрөгдсөн жагсаалт хаягтай тохирдог, хүнтэй биш

--api-server-authorized-ip-ranges CIDR блок хүлээн авдаг, хэрэглэгч эсвэл бүлгийг биш. Хөгжүүлэгчийн хүсэлт VPN серверээс Azure руу гарах үед API сервер дээрх эх хаяг нь VPN серверийн нийтийн гаралт юм. Тиймээс тэр VPN дээрх хүн бүр нэг бичлэгийг хуваалцаж, VPN-ээс гадуур хэн бүхнийг баталгаажуулалт эхлэхээс өмнө татгалздаг.

Энэ нь мөн бичлэг таны санаж байснаас илүү олон хүнийг оруулдаг гэсэн үг. VPN хандалттай гэрээт ажилтан, ижил концентратор дээрх хувийн зөөврийн компьютер, халдлагад өртсөн бүртгэл бүгд нэг хаягаас ирдэг. Кластерийн зөвшөөрөл өөрчлөгдөөгүй тул үүрэгт суурилсан хандалтын хяналт дуудагчийн юу хийж болохыг шийдсээр байгаа ч зөвшөөрөгдсөн жагсаалт нь таних хяналт биш бөгөөд хэзээ ч тийм гэж тодорхойлж болохгүй.

Хамгийн түрүүнд эвдрэх нь ихэвчлэн kubectl биш

Зөвшөөрөгдсөн жагсаалт API серверийн нийтийн төгсгөлийн цэгт үйлчилдэг тул таны жагсаасан хаягуудаас гадуурх бүхэн тэр даруй ажиллахаа болино. Илт хохирогчид нь VPN маршрутгүй хоёр дахь оффис, хостлосон дамжуулах хоолой дахь CI гүйцэтгэгч, холбогдохоо мартсан зөөврийн компьютер юм. Хүн хүлээж байдаг тул тэднийг танихад хялбар.

Бага илт тохиолдол нь Azure эсвэл таны өөрийн хэрэгслүүдийн удирддаг автоматжуулалт юм. Платформын эхлүүлсэн зарим үйлдэл API серверт таны VPN биш хаягуудаас хүрдэг бөгөөд тэдгээрийн нэг нь жагсаалтыг чангатгасны дараа шууд бүтэлгүйтэж эхэлбэл цаг хугацаа нь сэжүүр юм. Интерактив хандалт ажиллаж байгаа учраас жагсаалт бүрэн гэж бүү бодоорой; кластер эвдэрсэн гэж дүгнэхээс өмнө функц таны бүс нутаг, захиалгад юу шаардадгийг шалгаарай.

Бүтэлгүйтлийн гарын үсэг тусална. Хүсэлт хэзээ ч баталгаажуулалтад хүрэхгүй бол энэ нь шүүлтүүр. Хэрэв баталгаажсаны дараа зөвшөөрлийн алдаа гарвал шүүлтүүр ажлаа хийсэн бөгөөд асуудал нь зөвшөөрөгдсөн жагсаалт хэзээ ч хүрдэггүй үүрэгт суурилсан хандалтын хяналтад байна.

Бүх жагсаалтыг нэг командаар байгуул

Шинэчлэх параметр нь бичлэг нэмэхийн оронд бүх жагсаалтыг сольдог тул зөвхөн VPN хаягийг агуулсан команд бусад бүхнийг чимээгүй хаядаг. Эхлээд одоогийн утгыг уншаад, хадгалаад, нэгдлийг илгээгээрэй:

az aks show -g rg-app -n aks-prod \
  --query apiServerAccessProfile.authorizedIpRanges -o tsv

az aks update -g rg-app -n aks-prod \
  --api-server-authorized-ip-ranges 203.0.113.10/32,198.51.100.0/24

Үүнд найдахын өмнө VPN серверт зориулж нөөцөлсөн нийтийн IP ашиглаарай. Динамик хаяг дахин холбогдох үед өөрчлөгдөж, өөрчлөлт бүр багийг кластераас чимээгүй гаргаж, хэн нэгэн зөвшөөрөгдсөн сүлжээнээс жагсаалтыг шинэчлэх хүртэл үргэлжилнэ. Нөөцөд зориулж VPN-ийн хоёр гаралтын цэг байвал хоёуланг нь жагсаагаарай, учир нь шүүлтүүрт илүүд үзсэн зам гэсэн ойлголт байхгүй.

Эхний зөвшөөрөгдсөн оролдлого нь шалгалт болох байдлаар өөрчлөлтийг цэгцлээрэй. Шинэ жагсаалтыг зарлаж, хэрэгжүүлээд, VPN-ээс даруй холбогдоорой; эсрэг дарааллаар хийвэл CIDR блок дахь үсгийн алдааг засахаар хэн ч API серверт хүрч чадахгүй цонх үлдэнэ.

Зөвшөөрөгдсөн жагсаалт хэзээ ч хамраагүй зүйл

Энэ нь API серверийг хувийн болгодоггүй. Хувийн кластер хувийн төгсгөлийн цэг, хувийн DNS ашигладаг бөгөөд зөвшөөрөгдсөн мужийн жагсаалт нь үүнийг орлуулах хяналт биш юм. Мөн оруулсан дуудагч юу хийж болохыг өөрчлөхгүй тул алдагдсан админ kubeconfig аль ч зөвшөөрөгдсөн хаягаас ажиллас хэвээр байна. Итгэмжлэлийг аюулгүй байдлын хязгаар, жагсаалтыг сүлжээний тав тух гэж үзээрэй.

Энэ нь ажлын ачаалалтай ямар ч холбоогүй. Жагсаалт идэвхтэй байхад ч Pods, Services ажиллас хэвээр байх бөгөөд VPN-ээр дамжуулан програмд хүрэх нь тусдаа асуудал: зөвхөн кластерийн IP-тэй Service-д зөөврийн компьютер нээхээс өмнө дотоод ачааллын тэнцвэржүүлэгч, ingress эсвэл port-forward хэрэгтэй хэвээр. Эдгээр хоёр загварыг холих нь хөгжүүлэгчдийг хязгаарладаг гэж мэдэгдэх боловч програмуудад юу ч хязгаарладаггүй өөрчлөлтийн тасалбар үүсгэдэг.

Хоёр талаас нь шалгаад, дараа нь нэг бодит үйлдэл гүйцэтгээрэй

VPN дээрх шинэ клиент болон түүний гаднах клиентээр туршаарай. Гаднах оролдлого нэрийн шийдвэрлэлт дээр биш, API сервер дээр татгалзагдах ёстой; хэрэв нэр шийдэгдэхгүй бол, та DNS туршиж байгаа бөгөөд шүүлтүүрийн талаар юу ч мэдээгүй. Дараа нь интерактив kubectl дуудлага биш үйлдэл, жишээ нь node pool масштаблалт эсвэл шинэчлэлтийн шалгалт гүйцэтгээд, болно гэж таамаглахын оронд дууссан эсэхийг баталгаажуулаарай.

Өөрчлөлтийн хажууд өмнөх жагсаалтын утгыг тэмдэглээд, бичсэн командад итгэхийн оронд шинэчлэлтийн дараа үр дүнтэй утгыг дахин уншаарай. AKS-ийн зөвшөөрөгдсөн IP мужийн баримт бичиг нь дэмжигдсэн параметрүүд болон нэг жагсаалтад хамаарах платформын шаардлагыг жагсаадаг бөгөөд ихэнх тасалбарын тайлбар энэ хэсгийг орхидог.