VPN għal kull Pod f’Kubernetes kontra gateway tal-ħruġ: ta’ min hu t-tunnel?

Tħaddem Pod bl-isem vpn-gateway, tħares klijent tat-test lejn l-indirizz tiegħu u tara l-pakketti jisparixxu. Xejn fil-manifest mhu ħażin u l-kubelet m’għandu xejn x’jilmenta dwaru. Ir-raġuni hija strutturali, mhux ta’ konfigurazzjoni: Kubernetes jagħti lil kull Pod l-ispazju tal-ismijiet tan-netwerk tiegħu stess, għalhekk isem, tikketta jew spazju tal-ismijiet tal-API maqsum ma jbiddlu xejn dwar fejn imorru l-pakketti. Għalhekk id-deċiżjoni dwar kif it-traffiku VPN joħroġ mill-kluster tibda b’mistoqsija dwar is-sjieda, mhux dwar l-immaġini tal-kontenituri.

Żewġ mekkaniżmi jkopru l-biċċa l-kbira tal-varar reali, u mhumiex interkambjabbli. Wieħed iqiegħed it-tunnel fl-ispazju tal-ismijiet tan-netwerk tat-tagħbija tax-xogħol stess. L-ieħor jitlob lis-CNI jidderieġi traffiku magħżul permezz ta’ nod tal-gateway magħżul. Jonqsu b’modi differenti, jiskaljaw b’modi differenti u jwieġbu lil timijiet differenti, u għalhekk il-mistoqsija tal-kontenitur ġeneralment tipproduċi argumenti li qatt ma jiġu solvuti.

Il-konfini tal-Pod huwa spazju tal-ismijiet, mhux host tal-qbiż

L-ispazju tal-ismijiet tan-netwerk ta’ Linux jippossjedi l-interfaces, l-indirizzi, ir-rotot u r-regoli tal-firewall tiegħu, u kull Pod jirċievi wieħed. Il-kontenituri f’dak il-Pod jingħaqdu miegħu, u huwa eżattament għalhekk li kontenitur awżiljarju jista’ jerġa’ jikteb rotot li l-applikazzjoni mbagħad ssegwi. Pod ġar għandu munzell li jidher identiku iżda kompletament separat. M’hemmx tabella maqsuma li Pod tal-gateway jista’ jiret, u m’hemmx tgħaddija impliċita ta’ traffiku minn spazju tal-ismijiet għal ieħor.

Huwa għalhekk ukoll li l-mudell tal-Pod tal-gateway jaħdem biss meta xi ħaġa ’l fuq fil-ktajjen tassew tibgħat pakketti lejh: Service, rotta statika fuq in-nod jew politika ta’ direzzjoni fis-CNI. Indirizz waħdu ma jiġbed xejn.

X’jixtri tunnel għal kull Pod, u x’jiswa

Tunnel li jaħdem fl-ispazju tal-ismijiet tat-tagħbija tax-xogħol jagħti lil dik it-tagħbija l-identità tal-klijent tagħha stess, li ħafna servizzi ta’ aċċess mill-bogħod jirrikjedu qabel ma jawtorizzaw jew jagħmlu kont ta’ sessjoni. Ir-raġġ tal-ħsara jibqa’ wkoll lokali: tunnel miksur ineħħi Deployment wieħed minflok il-passaġġ maqsum li jintuża minn kollox. Kif jaħdem jiddependi mill-implimentazzjoni, u hawnhekk in-nies jaqbdu ħażin.

Setup li jeħtieġ biss stat tal-kernel jista’ jispiċċa f’kontenitur init u joħroġ. Daemon fl-ispazju tal-utent li jrid jibqa’ ħaj għall-ħajja kollha tal-Pod jeħtieġ il-forma ta’ kontenitur init li jerġa’ jibda mdaħħla bħala sidecar nattiv fi Kubernetes 1.29, u dan id-distinzjoni ġejja mill-implimentazzjoni tat-tunnel u mhux mit-togħma. L-ispiża ta’ dan il-mudell hija duplikazzjoni: kull replika tawtentika, tirċievi l-indirizz tat-tunnel tagħha stess u tikkonsma post ta’ sessjoni mill-bogħod, għalhekk avveniment ta’ awtoskaler isir avveniment ta’ kapaċità fuq in-naħa l-oħra tal-konnessjoni. L-ikkupjar ta’ kredenzjali waħda fir-replikas kollha ma jneħħix dik l-ispiża, ineħħi t-traċċa tal-awditjar. Il-kapaċitajiet jixirqilhom l-istess skrutinju, għax tunnel li jrid NET_ADMIN fl-ispazju tal-ismijiet tiegħu stess m’għandu ebda raġuni jiret l-awtorità tal-host kollu minn eżempju b’privileged: true.

Meta s-CNI jippossjedi l-ħruġ

Jekk is-CNI jappoġġah, gateway tal-ħruġ jagħżel it-traffiku skont it-tagħbija tax-xogħol u l-firxa tad-destinazzjoni, imbagħad jibgħatha permezz ta’ nodijiet magħżula taħt indirizz sors wieħed prevedibbli. Il-verżjoni ta’ Cilium hija r-referenza komuni, u d-dokumentazzjoni tagħha tgħid b’mod ċar li l-karatteristika teħtieġ konfigurazzjoni speċifika ta’ Cilium flimkien ma’ nodijiet tal-gateway mgħammra bl-interfaces u l-indirizzi t-tajba. Hi wkoll tinnota perjodu inizjali wara l-ħolqien tal-Pod meta d-direzzjoni għadha mhix infurzata, li hija input tad-disinn u mhux nota f’qiegħ il-paġna.

Aqra dan id-dewmien kontra l-wegħda tiegħek stess. Jekk ir-regola hija li ebda traffiku ma jista’ joħroġ minn triq oħra, Pod ġdid li jittrasmetti waqt il-vojt diġà kisirha, għalhekk is-sekwenza tat-tnedija teħtieġ tweġiba tagħha: żomm l-applikazzjoni sakemm tapplika l-politika, jew aċċetta t-tieqa u dokumentaha.

Żomm il-pretensjoni dejqa. Gateway tal-ħruġ jagħżel u jittraduċi passaġġ. Ma jtemmx VPN, u ma jbiddilx il-kluster fi klijent tan-netwerk remot tiegħek mingħajr konnessjoni appoġġjata warajh.

It-traduzzjoni tbiddel bil-kwiet dak li jara n-naħa remota

Ladarba l-gateway jerġa’ jikteb is-sors, l-indirizzi għal kull Pod jisparixxu, għalhekk lista ta’ permess ibbażata fuq l-identità ssir lista bbażata fuq indirizz maqsum wieħed. Dan huwa skambju u mhux difett: inqas regoli x’żżomm, attribuzzjoni iktar ħarxa meta xi ħaġa ma taħdimx tajjeb.

L-awtentikazzjoni fil-livell tal-applikazzjoni u l-logging tat-talbiet iridu jġorru dak li n-netwerk m’għadux jirrapporta. Ikkunsidra l-kapaċità u s-sostituzzjoni tal-gateway bħala infrastruttura maqsuma, għax reboot ta’ nod wieħed issa jinterrompi kull tagħbija tax-xogħol warajh, u ċċekkja t-triq tar-ritorn kmieni: it-tarf remot irid ikun jaf kif jilħaq l-indirizz tradott, normalment permezz ta’ rotta jew NAT li persuna, mhux manifest, trid tippossjedi. L-ippjanar tal-indirizzi wkoll jaqa’ hawn, għax firxiet tal-kluster u remota li jikkoinċidu jkissru ż-żewġ mudelli u l-adozzjoni ta’ IPv6 ma tiskużax pjan konfliġġenti.

Iddeċiedi bis-sjieda, imbagħad ittestja l-falliment li wegħdt

Agħżel it-tunnel għal kull Pod meta s-servizz remot jawtentika tagħbijiet tax-xogħol individwali, meta biss ftit Deployment jeħtieġu l-konnessjoni, u meta falliment għandu jibqa’ lokali. Agħżel il-gateway meta tim tan-netwerk diġà jippossjedi t-triq, meta ħafna tagħbijiet jaqsmu destinazzjoni waħda, u meta indirizz sors stabbli huwa l-iskop kollu tal-eżerċizzju.

Kif ikun, ivverifika l-proprjetà li biegħt u mhux l-istat stabbli. Oħloq Pod, ħallih jittrasmetti mill-ewwel u osservà l-ewwel sekondi jekk il-wegħda kinitx li xejn ma jaħrab mit-tunnel. Skala għal ħames replikas u għodd is-sessjonijiet li jirrapporta t-tarf remot jekk il-wegħda kinitx identità għal kull tagħbija tax-xogħol. Dawn iż-żewġ kontrolli juru l-limiti tal-mekkaniżmu ħafna aktar malajr minn reviżjoni tal-manifest, u jgħidulek liema tim jippossjedi l-inċident li jmiss.