د EKS API د VPN تر شا ایښودل: د عملیاتو ترتیب

خصوصي endpoint فعال کړئ، ثابته کړئ چې kubectl ورته رسېدلی، بیا عمومي endpoint وتړئ. د هر ګام ترمنځ د لارښوونو او کتنو سره مرحله مرحله رنبوک.

د دې بدلون خطرناکه بڼه یوازې یو حکم دی چې endpoint بدلوي او په هماغه وخت کې ټول مدیران بندوي. خوندي بڼه دواړه لارې پرانیستې ساتي، ثابته کوي چې خصوصي لاره له VPN څخه کار کوي، او یوازې له هغې وروسته عمومي endpoint بېرته اخلي. فرض کړئ چې یو شته کلسټر، د هغې VPC ته تصویب شوی تونل او لا دمخه کار کوونکی kubeconfig شته; دنده Kubernetes API ته خصوصي لاسرسی دی، نه خصوصي نوډونه او نه نوی اجازه ماډل. لاندې هر ګام کتنه لري چې تاسو کولی شئ په خوندي ډول پکې ناکام شئ.

1. Endpoint لیست کړئ او د بېرته راتلو لاره وساتئ

د بدلون دمخه اوسنی حالت ثبت کړئ، په شمول عمومي CIDR اجازه لیست او د کلسټر امنیتي ډله. همدا دوه هغه دي چې کله یو څه کار بند کړي پرتله به یې کوئ، او اجازه لیست ستاسو د بېرته تګ لاره هم ده که خصوصي لار غلطه وي.

aws eks describe-cluster --region REGION --name CLUSTER \
  --query 'cluster.{endpoint:endpoint,public:resourcesVpcConfig.endpointPublicAccess,private:resourcesVpcConfig.endpointPrivateAccess,cidrs:resourcesVpcConfig.publicAccessCidrs}'

REGION او CLUSTER دلته د ځای نیوونکي دي. وګورئ چې خصوصي بیرغ اوس څه لولي، ځکه هغه کلسټر چې له دمخه فعال خصوصي لاسرسي سره جوړ شوی بل لومړني ګام ته اړتیا لري د هغه چې هیڅکله نه دی درلودلی. د لېږد پر مهال لږ تر لږه یوه تصویب شوې اداري لاره پرانیستې وساتئ; هغه VPN چې د هماغه کلسټر د رسېدو پرمخ تکیه کوي د بیا رغولو لاره نه ده.

2. خصوصي لاسرسی فعال کړئ چې شبکه لاره چمتو وي

بیرغ بلول اسانه نیمه ده. تونل ته د endpoint خصوصي پتو ته لاره اړینه ده، او د کلسټر امنیتي ډلې ته له هغه سرچینې چې VPN واقعاً وړاندې کوي TCP 443 اړین دی. Client VPN تړاو، سایت-تر-سایټ ګیټوی او peer شوی VPC ټول کولی شي بېلابېلې سرچینې پتې وړاندې کړي، نو د عمومي خصوصي حد پرځای هغه ماډل وکاروئ چې تاسو ځای پرځای کړی.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=true,endpointPrivateAccess=true

aws eks describe-update --region REGION --name CLUSTER --update-id UPDATE_ID

تازه کول ناهمغږ دي. د ثابتو ثانیو انتظار او اټکل پرځای د تازه کولو id تر هغه پوښتنه وکړئ چې بریالیتوب راپور کړي. پداسې حال کې چې دا کوئ د نوډونو او کنټرول طبقې ترافیک پرېږدئ: د کلسټر ټوله امنیتي ډله ستاسو لپټاپ لپاره د یوې قاعدې سره بدلول هغه لاره ده چې یوه کار کوونکې ډاټا طبقه په دوهمه پېښه بدلېږي.

د EKS endpointونو مستندات یو ځل بشپړ لوستل ارزښت لري، ځکه وایي چې یوازې-خصوصي لاسرسی کولی شي له VPC یا نښلول شوې شبکې څخه راشي. هماغه جمله د دې مهاجرت د امکان بشپړ دلیل دی، او دا هم د بل ګام د شتون دلیل دی.

3. ثابته کړئ چې ورک سټیشن خصوصي لاره کارولې

چې دواړه endpointونه فعال وي، بریالی kubectl get ns د دې په اړه هیڅ ثابت نه کوي چې کوم ځواب ورکړ. د endpoint هوسټ نوم حل کړئ او وګورئ چې ترلاسه شوې پته خصوصي حد پورې اړه لري که عمومي. که ستاسو نښلول شوې شبکه د DNS له لارې خصوصي لید نه ترلاسه کوي، حکم به د عمومي endpoint له لارې بریالی شي او تاسو به عمومي لاره پر جعلي شاهدۍ بېرته واخلئ. دا د دې مهاجرت د غلطېدو ترټولو عامه لاره ده، او دا په بشپړ ډول بریالیتوب ته ورته ښکاري.

nslookup HASH.gr7.REGION.eks.amazonaws.com
kubectl cluster-info
kubectl get ns --request-timeout=10s

هوسټ نوم او د سند تصدیق هغسې وساتئ لکه څنګه چې دي. په kubeconfig کې خصوصي IP اچول او د TLS کتنه پرېښودل هغه مهاجرت نه دی چې تاسو د بدلون په ریکارډ کې بیان کړی، او د endpoint د څرخېدو په شیبه کې به بیا ناکام شي.

4. عمومي لاسرسی په قصد بېرته واخلئ

کله چې خصوصي لاره ثابته شوه او د بیا رغولو بهیر تصویب شو، عمومي endpoint وتړئ. دا ریښتینی بدلون دی نه مخکتنه، نو هغه په هغه حساب او تنظیماتو کې چل کړئ چې واقعاً یې په زړه کې لرئ.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=false,endpointPrivateAccess=true

په یوازې-خصوصي حالت کې عمومي DNS نوم د VPC له دننه د endpoint خصوصي پتو ته حلېږي، نو حل کول او رسېدل نور یو شی نه وي. هر څه چې پر عمومي پته تکیه وو، په شمول CI چلوونکي یا په بله شبکه کې لپټاپ، اوس خپله د ننوتلو لاره غواړي.

5. شبکه پالیسي او هویت پالیسي جلا وساتئ

د عمومي لاسرسي CIDR لیست یوازې عمومي endpoint اداره کوي. دا خصوصي endpoint نه محدودوي، هغه په عوض د کلسټر امنیتي ډلې او نښلول شوې شبکې پالیسۍ محدودوي. که عمومي endpoint وساتئ، د هغې اجازه لیست باید له هغه عمومي وتلو سره سمون ولري چې ستاسو API پیرودونکي او نوډونه واقعاً کاروي; د VPN حوض پته نادراً هغه سرچینه وي.

له دې څخه هیڅ IAM یا Kubernetes RBAC نه بدلوي. د endpoint تنظیمات اداري عمل دی، او عادي کاروونکي باید یوازې API ته د رسېدو لپاره د پولې نرموولو اجازه ونه لري. وروستی حالت، نیټه او د بیا رغولو لاره په رنبوک کې ولیکئ، بیا د بیا رغولو لاره یو ځل هغه وخت وآزموئ چې لا اسانه ده.

اړوندې مقالې