Il-pods tal-GKE tilfu l-aċċess għall-VPN wara 1.14: żewġ modi kif issewwi s-sors

Wara 1.14 il-pods jilħqu l-VPN bl-indirizzi tagħhom stess, għalhekk il-pari jarmu t-tweġibiet. Agħżel il-kuntratt tas-sors, imbagħad issettja nonMasqueradeCIDRs skont dan.

Jasal aġġornament, u s-sistemi fuq in-naħa l-oħra tat-tunnel jibdew jirrifjutaw it-traffiku tal-pods li kien jaħdem il-ġimgħa ta' qabel. It-tunnel huwa attiv, ir-regoli tal-firewall mhumiex mittiefsa, u ħadd ma editja l-politika tal-pari. Dak li nbidel huwa inviżibbli fil-logs tal-cluster: l-indirizz tas-sors li dawn is-sistemi issa jaraw. Dan id-distakk jispjega falliment li jidher bħal qtugħ tan-netwerk u jġib ruħu bħal problema ta' permessi.

Jeżistu żewġ tweġibiet validi, u jwasslu għal postijiet differenti. Agħżel il-kuntratt tas-sors qabel ma tedita ConfigMap.

Ir-regola awtomatika li waqfet tiġi installata

Il-verżjonijiet preċedenti tal-GKE kienu jinstallaw regola ta' masquerade li kienet tibdel is-sorsi tal-pods bl-indirizz tan-nodu kull meta d-destinazzjoni kienet barra minn 10.0.0.0/8. Gateway tal-VPN f'dan il-firxa kien jara l-indirizz tal-pod, filwaqt li kull ħaġa aktar 'il bogħod kienet tidher li ġejja min-nodu. Il-pari bnew listi ta' permess u rotot ta' ritorn madwar l-indirizzi tan-nodi għax dan kien dak li osservaw.

Verżjonijiet aktar tard waqfu jinstallaw dik ir-regola awtomatika. It-traffiku tal-pods issa jasal fil-gateway bl-indirizzi tal-pods, tkun li tkun id-destinazzjoni. Pari li jirrutta biss indirizzi tan-nodi jarmi t-tweġibiet, u l-ebda naħa ma tikteb entrata tal-log utli. It-talba tista' saħansitra tirnexxi fit-tarf 'il bogħod, u dan huwa dak li jagħmel il-falliment konfuż biex issegwi.

Xejn mhu miksi fis-sens ta' komponent mejjet. Iż-żewġ naħat sempliċement ma jaqblux dwar liema sors huwa leġittimu.

Agħżel is-sors li l-pari għandu jara

Li żżomm l-indirizzi tal-pods huwa l-kuntratt aktar preċiż. In-naħa 'l bogħod tara l-piż tax-xogħol li pproduċa t-traffiku, il-logs jibqgħu onesti, u l-politika għal kull pod issir possibbli. Il-prezz huwa li l-pari jrid iġorr il-prefiss tal-pods.

Li żżomm l-indirizzi tan-nodi huwa l-kuntratt irħas. Erġa' ixgħel il-masquerade għal dik id-destinazzjoni u l-pari jkompli jara indirizz li diġà jafda.

Mistoqsija waħda tiddeċiedi bejniethom: x'jagħmel il-pari bis-sors? Jekk jirreġistra, japplika politika għal kull sors jew jinfurza routing ta' ritorn dejjaq, l-indirizzi tal-pods jiġġustifikaw il-konfigurazzjoni żejda. Jekk jeħtieġ biss jibgħat tweġibiet, il-masquerade jonqos u ma jitlob xejn min-naħa l-oħra. Kull għażla hija difendibbli sakemm iż-żewġ timijiet jiktbuha.

It-tielet għażla ġeneralment hija żball: masquerade ta' kollox u telf tal-abbiltà li tattribwixxi t-traffiku. Evitaha sakemm pari ma jistax verament jirrutta xejn ħlief indirizzi tan-nodi.

Idderieġi nonMasqueradeCIDRs lejn il-firxiet veri

GKE jmexxi l-ip-masq-agent f'kube-system, u l-ConfigMap tiegħu jelenka d-destinazzjonijiet li jaqbżu l-masquerade. Biex tippreserva s-sorsi tal-pods lejn it-tunnel, il-firxa tal-pods, is-subnet tan-nodu u l-prefiss lokali kollha jappartjenu għal dik il-lista.

Ibdel il-valuri tal-eżempju b'firxiet mill-cluster tiegħek stess. Tagħmilx il-lista usa milli teħtieġ il-ħtieġa, għax kull entrata żejda tbiddel dak li jara xi destinazzjoni oħra. It-tliet entrati hawn taħt jirrappreżentaw in-netwerk tal-pods, is-subnet tan-nodu u l-prefiss wara t-tunnel:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

Entrata ta' 0.0.0.0/0 tiddiżattiva l-masquerade għad-destinazzjonijiet kollha, li tbiddel kif piżijiet tax-xogħol mhux relatati jidhru lis-servizzi esterni u rari tkun intenzjonata. L-aġent jerġa' jaqra l-konfigurazzjoni tiegħu f'resyncInterval, għalhekk restart normalment mhuwiex meħtieġ. Iċċekkja li l-pod tal-aġent qed jaħdem, imbagħad iftaħ il-fajl immuntat ġo fih. Huwa l-qari ta' dak il-fajl li jipprova li l-bidla waslet.

Il-passaġġ tar-risposta huwa n-nofs l-ieħor

Il-masquerade ibiddel is-sors tat-talba u xejn aktar. Liema sors jirċievi l-pari, għadu jeħtieġ rotta lura lejh, u l-cluster għadu jeħtieġ rotta lejn il-pari.

Qabda fuq il-gateway tal-VPN tifred iż-żewġ fallimenti malajr. Pakketti li jaslu bl-indirizzi tal-pods u qatt ma jieħdu tweġiba jfissru li l-pari m'għandux rotta għall-prefiss tal-pods. Tweġiba li tidher fuq il-gateway imma qatt ma tasal fil-cluster tfisser li r-rotta lokali hija nieqsa. Ikteb il-kuntratt fit-ticket xorta waħda: liema sors jara l-pari, u lejn liema prefiss jirrutta lura.

Iċċekkja mill-ġdid wara kull aġġornament

L-imġiba awtomatika tal-masquerade diġà nbidlet darba, u s-sostituzzjoni ta' grupp ta' nodi tista' tirrisettja n-netwerk tal-cluster. Ittratta l-kuntratt tas-sors bħala xi ħaġa li għandha tiġi vverifikata u mhux preżunta.

Wara aġġornament, ibgħat talba waħda minn pod lejn servizz lokali u aqra s-sors li jirreġistra l-pari. Dik l-osservazzjoni waħda taqbad rigressjoni li paġna tal-istat tat-tunnel tirrapporta bil-ferħ bħala waħda f'saħħitha. Li tirrepetiha tiswa minuta u tiffranka lejla lill-persuna li jmiss.

Artikli relatati