Pod, зангилаа эсвэл кластер: VPN sidecar яг юуг дахин чиглүүлдэг

Kubernetes Pod доторх VPN sidecar нь илүү сайн зан үйлтэй хост түвшний VPN мэт харагддаг бөгөөд ижил төстэй байдал нэрийн орон зайн хил дээр дуусдаг. Нэг Pod дахь контейнерууд хаяг, портын орон зайг оролцуулан сүлжээний нэрийн орон зайг хуваалцдаг тул маршрут ба бодлого суулгадаг sidecar програмын пакетууд хаашаа явахыг үнэхээр өөрчилдөг. Зангилаа дээрх бусад Pod-д юу ч өөрчлөхгүй, хэрэв та тэгж тохируулахгүй бол зангилааны өөрийн стект хүрэхгүй. Энэ хилийг зөв ойлгох нь юу байршуулж болох, юуг шалгах ёстойг шийддэг. Доорх хэсгүүд үүнийг нэрийн орон зайнаас гадагш дагана.

Хуваалцсан нэрийн орон зай, хуваалцсан үр дагавар

Pod дахь хоёр контейнер loopback-аар ярьж, ижил интерфейсүүдийг хардаг, sidecar загвар ер нь ажилладаг шалтгаан энэ: програмд туннель байгааг мэдэх шаардлагагүй, учир нь түүний шийдэж буй маршрут нь түүний ашиглаж буй нэрийн орон зайд суулгагдсан. Мөн энэ шинж чанар нь sidecar-ын алдаа програмын алдаа гэсэн үг. Хэт их барьдаг маршрут эсвэл туннелийн доторх шийдэгч рүү заасан DNS өөрчлөлт нь тухайн Pod дахь бүх процессд даруй үйлчилнэ. Хуваалцсан нэрийн орон зайд контейнер тус бүрийн маршрутлалт байхгүй тул sidecar-ыг нэг процессоор хязгаарлах боломжгүй.

Хяналтын үед санаж байх механизм энэ: нөлөөллийн радиус нь Pod, зангилаа ч биш, кластер ч биш.

Sidecar хүрэхгүй газар

Бусад Pod өөрсдийн нэрийн орон зай, өөрсдийн маршрутлалтаа хадгалдаг тул ижил гаралт шаардлагатай ачаалалд ижил sidecar эсвэл оронд нь зангилааны түвшний загвар хэрэгтэй. Зангилааны урсгал ч Pod-ын нэрийн орон зайнаас гадуур, хост сүлжээтэй Pod-ууд энэ тусгаарлалтаас зориуд бүрэн гардаг. Ямар нэг тохиромжтой зүйлд хүрэхийн тулд sidecar-ыг хост сүлжээгээр ажиллуулбал та хамрах хүрээг нэг Pod-оос бүх зангилаа руу өргөжүүлсэн бөгөөд үүнийг чанга хэлэх ёстой.

Кластерын үйлчилгээнүүд рүү чиглэсэн урсгал нь өөр нэг түгээмэл гэнэтийн зүйл. Pod доторх өргөн анхдагч маршрут нь API сервер эсвэл ClusterIP үйлчилгээнд зориулсан хүсэлтүүдийг барьж чадах бөгөөд тэд дараа нь туннель эвдэрсэн мэт харагдах байдлаар бүтэлгүйтдэг.

Маршрутын төлөвлөгөө: Pod, үйлчилгээ, зангилаа, VPN-ийн хүрээ

Дөрвөн хүрээг бичиж аваад ямар нэг зүйлийг байршуулахаас өмнө давхцлыг шалгаарай: Pod CIDR, үйлчилгээний CIDR, зангилааны хаягууд, VPN-ийн ард байх чиглэлүүд. VPN-ийн хувийн хүрээ болон кластерын өөрийн орон зайн давхцал ховор биш бөгөөд анхдагч маршрут нь үүнд буруу шийдэл юм. Маршрутын төлөвлөгөө нь манифесттай нэг репозиторт байх ёстой, учир нь дараагийн кластер огт өөр Pod болон үйлчилгээний хүрээ өгч болно.

DNS нь төлөвлөгөөний хэсэг, тусдаа санаа зовнил биш. Шийдэгчийн тохиргоог дахин бичдэг sidecar кластер доторх үйлчилгээний илрүүлэлтийг эвдэж болох бөгөөд гадаад хайлт төгс ажиллана.

Эхлэл ба бүтэлгүйтэл бол тодорхой төлөв

Ажиллаж буй sidecar процесс нь гаралтын бодлого биш. Туннель бэлэн болохоос өмнө ямар урсгал урсаж болох, дараа нь үхвэл юу болохыг шийдэж, дараа нь тэр шийдвэрийг хэрэгжүүл: програмын контейнерийг хянах проб, анхдагчаар татгалздаг сүлжээний бодлого, эсвэл хоёулаа. Тэдгээрийн аль нэг нь байхгүй бол програм эхэлж, нэрсийг шийдэж, туннель холбогдож байх үед урсгалыг зангилааны ердийн замаас гадагш илгээдэг.

Энэ цоорхой эрүүл кластерт богино, эвдэрсэн кластерт байнгын бөгөөд халдагч эсвэл санамсаргүй мэдээлэл алдагдлын илүүд үздэг шинж чанар нь яг энэ.

Дарааллыг бүтэлгүйтлийн тесттэй хослуул. Sidecar-ыг алж, програм чимээгүй ухрахын оронд төлөвлөсөн гаралтаа алдаж байгааг батал.

Чадвар, бодлого, програмын контейнероос шалгах

Интерфейс үүсгэх, маршрут өөрчлөхөд шаардлагатай чадварыг олгох нь эрх мэдлийн шийдвэр бөгөөд тусгаарлагдсан Pod-д тохирох эрх нь зангилааны стект автоматаар тохирохгүй. Кластерын дэмждэг сүлжээ, аюулгүй байдлын бодлогын механизмыг ашигла, CNI эсвэл бодлогын хэрэгжилт бүр VPN интерфейсийг ижилхэн үздэг гэж битгий бод. Ялгаа нь таныг санаа зовдог бүтэлгүйтлийн тохиолдлуудад яг илэрдэг.

Бодит програмын контейнероос шалга: хувийн чиглэл, кластерын үйлчилгээ, нийтийн интернет рүү шинэ хүсэлтээр. Sidecar-аас хийсэн тест нь туннель ажиллаж байгааг баталдаг, програм хэрэгтэй зүйлдээ хүрч байгааг биш.

VPN тохиргооны дэргэд кластерын сүлжээний таамаглалыг баримтжуул. Тэгвэл ачааллыг өөр кластер руу зөөх нь чимээгүй ажиллахаа болих образын өөрчлөлт биш, маршрутын төлөвлөгөөг шалгах дасгал болно.