Pod, node jew cluster: x'inhuma tassew jiddevja sidecar VPN

Sidecar VPN f'Pod ta' Kubernetes jidher bħal VPN fil-livell tal-host b'imġiba aħjar, u x-xebh jieqaf fil-fruntiera tal-ispazju tal-ismijiet. Il-kontenituri f'Pod wieħed jaqsmu l-ispazju tal-ismijiet tan-netwerk, inkluż l-ispazju tal-indirizzi u tal-portijiet, għalhekk sidecar li jinstalla rotot u politika tassew ibiddel fejn imorru l-pakketti tal-applikazzjoni. Ma jbiddel xejn għall-Pod l-oħra fuq in-node, u ma jmissx l-istack tal-node nnifsu sakemm ma tikkonfigurahx hekk. Li tifhem sewwa din il-fruntiera jiddeċiedi kemm x'tista' tiskjera kif ukoll x'għandek tittestja. It-taqsimiet hawn taħt isegwu dan mill-ispazju tal-ismijiet 'il barra.

Spazju tal-ismijiet maqsum, konsegwenzi maqsuma

Żewġ kontenituri f'Pod jitkellmu fuq loopback u jaraw l-istess interfaces, u għalhekk il-mudell tas-sidecar jaħdem xejn: l-applikazzjoni m'għandhiex bżonn tkun taf li teżisti mina, għax ir-rotta li ssolvi ġiet installata fl-ispazju tal-ismijiet li tuża. L-istess proprjetà tfisser li l-iżbalji tas-sidecar huma l-iżbalji tal-applikazzjoni. Rotta li taqbad wisq, jew bidla fid-DNS li tipponta lejn resolver ġewwa l-mina, tapplika minnufih għal kull proċess f'dak il-Pod. Fi spazju tal-ismijiet maqsum m'hemmx routing skont il-kontenitur, għalhekk sidecar ma jistax jiġi limitat għal proċess wieħed.

Dan hu l-mekkaniżmu li għandu jinżamm f'moħħu waqt ir-reviżjoni: ir-raġġ tal-impatt huwa l-Pod, mhux in-node u mhux il-cluster.

Fejn is-sidecar ma jasalx

Pod oħra jżommu l-ispazji tal-ismijiet tagħhom u r-routing tagħhom, għalhekk xogħol li jeħtieġ l-istess egress jeħtieġ l-istess sidecar jew, minflok, disinn fil-livell tan-node. It-traffiku tan-node wkoll jinsab barra mill-ispazju tal-ismijiet tal-Pod, u Pod b'netwerk tal-host apposta joħorġu għal kollox minn dan l-iżolament. Jekk tħaddem is-sidecar b'netwerk tal-host biex tasal għal xi ħaġa komda, tkun wessajt l-ambitu minn Pod wieħed għan-node kollu u dan għandek tgħidu b'leħen għoli.

It-traffiku lejn is-servizzi tal-cluster huwa l-oħra sorpriża komuni. Rotta default wiesgħa fil-Pod tista' taqbad talbiet maħsuba għas-server API jew għal servizz ClusterIP, li mbagħad ifallu b'modi li jidhru bħall-mina tkun miksura.

Pjan tar-rotot: meded Pod, servizz, node u VPN

Ikteb l-erba' meded u iċċekkja jekk jaqbżux xulxin qabel ma tiskjera xi ħaġa: CIDR tal-Pod, CIDR tas-servizz, indirizzi tan-node u d-destinazzjonijiet wara l-VPN. Il-qabża bejn il-meded privati tal-VPN u l-ispazju tal-cluster stess mhix rari, u rotta default hija s-soluzzjoni ħażina għaliha. Il-pjan tar-rotot jappartjeni lill-istess repo bħall-manifest, għax il-cluster li jmiss jista' jagħti meded ta' Pod u servizz kompletament differenti.

Id-DNS huwa parti mill-pjan u mhux ħsieb separat. Sidecar li jerġa' jikteb il-konfigurazzjoni tar-resolver jista' jkisser is-sejba tas-servizzi fil-cluster waqt li t-tfittxijiet esterni jaħdmu perfettament.

It-tnedija u l-falliment huma stati espliċiti

Proċess sidecar li qed jaħdem mhuwiex politika tal-egress. Iddeċiedi liema traffiku jista' jiċċirkola qabel ma l-mina tkun lesta u x'jiġri jekk tmut wara, imbagħad implimenta dik id-deċiżjoni: sonda li tikkontrolla l-kontenitur tal-applikazzjoni, politika tan-netwerk li tirrifjuta b'mod awtomatiku, jew it-tnejn. Mingħajr waħda minnhom l-applikazzjoni tibda, issolvi u tibgħat traffiku barra mill-passaġġ normali tan-node waqt li l-mina għadha qed tikkonnettja.

Dak il-vojt huwa qasir f'cluster b'saħħtu u permanenti f'wieħed miksur, u din hi eżattament il-proprjetà li jippreferi attakkant jew tnixxija tad-data aċċidentali.

Għaqqad l-ordni ma' test tal-falliment. Oqtol is-sidecar u kkonferma li l-applikazzjoni titlef l-egress maħsub tagħha minflok ma tiġġebbed lura bil-kwiet.

Kapaċitajiet, politiki u testijiet mill-kontenitur tal-app

Li tagħti l-kapaċitajiet meħtieġa biex jinħolqu interfaces u jinbidlu rotot hija deċiżjoni ta' privileġġ, u privileġġ xieraq għal Pod iżolat mhuwiex awtomatikament xieraq fuq l-istack tan-node. Uża l-mekkaniżmi tal-politika tan-netwerk u tas-sigurtà li jappoġġja l-cluster, u tassumix li kull implimentazzjoni ta' CNI jew politika tittratta interface VPN bl-istess mod; id-differenzi jidhru eżattament fil-każijiet ta' falliment li jimpurtawk.

Ittestja mill-kontenitur veru tal-applikazzjoni, b'talbiet ġodda lejn destinazzjoni privata, servizz tal-cluster u l-internet pubbliku. Test mis-sidecar jipprova li l-mina taħdem, mhux li l-applikazzjoni tasal għal dak li teħtieġ.

Iddokumenta l-assunzjonijiet tan-netwerk tal-cluster ħdejn il-konfigurazzjoni tal-VPN. Imbagħad li tmexxi x-xogħol lejn cluster ieħor huwa eżerċizzju fil-verifika tal-pjan tar-rotot minflok bidla fl-image li tibqa' taħdem bil-kwiet.