Sidecar VPN jeħtieġ regola tal-bidu u regola tal-falliment

Pod jibda l-kontenitur tat-tunnel qabel l-applikazzjoni u l-ewwel talbiet jirnexxu, u dan huwa eżattament il-każ li jaħbi l-problema. L-ordni tnejn tellieqa waħda u ma tgħid xejn dwar it-traffiku li l-applikazzjoni tibda erba' sigħat wara, wara li t-tunnel jfalli. Dawn huma żewġ deċiżjonijiet separati. Normalment tinħadem biss waħda minnhom.

L-ordni tostakola biss l-ewwel talba

Kubernetes jappoġġja ċiklu tal-ħajja ta' sidecar mibni minn kontenituri init li jistgħu jerġgħu jibdew. F'dak il-mudell, probe tal-bidu tista' żżomm lura l-pass ta' inizjalizzazzjoni li jmiss sakemm it-tunnel jirrapporta l-ħejjija. Dan huwa titjib ġenwin, u jistħoqqlu jintuża b'mod intenzjonat minflok ma żżid sleep ma' skript tal-punt tad-dħul. Il-bieb huwa biss tajjeb daqs il-kundizzjoni li jittestja.

Barra minn dan il-mudell, is-semantika tal-ordni tappartjeni lil dak ir-runtime jew sistema tad-dipendenzi li qed tuża, u m'għandhomx għalfejn jaqblu. Implikazzjoni kkupjata minn pjattaforma oħra tista' tidher li qed tistenna t-tunnel għax l-applikazzjoni tibda bil-mod b'kumbinazzjoni. Din mhix l-istess garanzija, u tfalli taħt tagħbija.

Għid x'josserva l-bieb: proċess jeżisti, interface jeżisti, handshake tlestiet. Kull waħda minn dawn hija dikjarazzjoni aktar dgħajfa minn “it-triq tad-dejta lejn id-destinazzjonijiet li dan il-pod jeħtieġ taħdem”.

Infurza t-triq tad-dejta minflok tassumiha

Probe hija verifika f'mument wieħed u firewall hija proprjetà li tapplika bejn il-mumenti. Jekk il-ħtieġa hija li t-traffiku tal-applikazzjoni qatt ma joħroġ barra mit-tunnel, din trid tiġi espressa fin-namespace tan-netwerk kondiviż bħala regola aċċetta-jew-waqqa'. L-ordni tal-bidu tal-kontenituri ma tistax iġġorr dik il-ħtieġa. Regola biss tista'.

Il-kontenituri fi pod wieħed jaqsmu dak in-namespace, għalhekk il-punt tal-infurzar huwa n-namespace innifsu. Kull ma tikteb, irid iħalli disponibbli l-konnessjoni ta' barra tat-tunnel stess, għax l-imblukkar tagħha biex tipproteġi l-applikazzjoni jaqta' t-triq li l-applikazzjoni teħtieġ.

Iddeċiedi l-politika tal-falliment b'mod espliċitu: it-traffiku tal-applikazzjoni għandu jieqaf għal kollox meta t-tunnel mhux f'saħħtu, jew jibqa' għaddej u jiġi mmarkat bħala mhux protett? It-tnejn huma difendibbli, u l-ebda waħda mhija dak li tikseb billi tibda l-kontenituri f'ordni partikolari.

Ittestja t-traffiku li ma semmejtx

Ħu talba ġdida waqt falliment tat-tunnel ikkontrollat u ara jekk toħroġx. Imbagħad irrepeti l-verifika għat-toroq li test tal-indirizz tal-ħruġ qatt ma jmiss: riżoluzzjoni DNS ġewwa l-cluster, destinazzjonijiet IPv6, u servizzi li jintlaħqu permezz ta' indirizzi interni tal-cluster minflok l-internet pubbliku. Dawk huma t-toroq li jibqgħu jaħdmu bil-kwiet wara li jmut it-tunnel.

Paġna tal-indirizz tal-ħruġ tipprova li talba waħda marret fejn kont qed tistenna f'dak il-mument. Ma tistax tinventarja t-toroq l-oħra, u l-vojt bejn dak li ttestjajt u dak li l-pod jista' jilħaq huwa fejn joqogħdu l-fallimenti interessanti.

Irrepeti t-test wara restart tas-sidecar u mhux biss wara bidu nadif. Kontenitur tat-tunnel li jerġa' jibda jista' jħalli n-namespace b'rotot u politika fi stat intermedju.

Ikteb ir-rekord tal-implikazzjoni

Tliet fatti jappartjenu għan-noti tal-implikazzjoni: it-test tal-ħejjija u x'josserva, l-azzjoni ta' rkupru meta dak it-test jfalli, u r-regola tal-infurzar li tirregola l-ħruġ. Id-dokumentazzjoni tal-kontenituri sidecar tkopri l-mekkanika taċ-ċiklu tal-ħajja u tħalli dik id-deċiżjoni tal-politika lilek. Din id-diviżjoni hija korretta, u huwa wkoll għalhekk li l-politika normalment tkun nieqsa.

Verifika tas-saħħa meqjusa bħala protezzjoni hija l-aktar tip għali ta' indikatur aħdar, għax twaqqaf lin-nies milli jistaqsu. Li ssemmiha b'mod preċiż fid-dokumentazzjoni tiswa sentenza waħda u tipprevjeni dan.

Fl-aħħar, ittestja t-triq tal-irkupru darba bl-applikazzjoni għaddejja. Disinn li jeħtieġ li l-pod jinħoloq mill-ġdid biex jiġi restawrat il-ħruġ hija deċiżjoni, u għandha tkun waħda li għamilt int, mhux waħda li skoprejt.