د GKE پوډونو له 1.14 وروسته VPN ته لاسرسی له لاسه ورکړ: د سرچینې سمولو دوې لارې

یو تازه کول راځي، او د تونل بلې خوا ته سیستمونه هغه پوډ ترافیک ردول پیلوي چې تېره اونۍ کار کاوه. تونل پورته دی، د اور دیوال قواعد نه دي لاس وهل شوي، او چا د همتای پالیسي نه ده سمه کړې. هغه څه چې بدل شول د کلسټر په لاګونو کې نه ښکاري: هغه سرچینه پته چې دا سیستمونه اوس ویني. دا تشه هغه نیمګړتیا تشریح کوي چې د شبکې د قطعې په څېر ښکاري او د اجازې د ستونزې په څېر چلند کوي.

دوه سم ځوابونه شته، او دوی تاسو بېل بېل ځایونو ته وړي. د ConfigMap له سمولو دمخه د سرچینې تړون وټاکئ.

هغه ډیفالټ قاعده چې نصبول یې بند شول

د GKE پخوانیو خپرونو د masquerade قاعده نصبوله چې د پوډ سرچینې یې د نوډ پتې سره بدلولې کله چې هدف له 10.0.0.0/8 بهر و. په دې سیمه کې دننه VPN دروازه د پوډ پته لیدله، پداسې حال کې چې لرې څه د نوډ څخه راغلي ښکارېدل. همتایانو د نوډ پتو شاوخوا د اجازې لیستونه او د بیرته راستنیدو لارې جوړې کړې، ځکه چې دوی همدا لیدل.

وروسته خپرونو د دې ډیفالټ قاعدې نصبول بند کړل. د پوډ ترافیک اوس دروازې ته د پوډ پتو سره رسیږي، که هدف هر څه وي. هغه همتا چې یوازې د نوډ پتې روټ کوي ځوابونه ردوي، او هیڅ اړخ ګټور لاګ نه لیکي. غوښتنه کېدای شي په لرې پای کې بریالۍ هم شي، او همدا دا نیمګړتیا تعقیبول ګډوډوي.

د مړې برخې په معنا هیڅ نه دی مات شوی. دوه اړخونه یوازې په دې نه سره موافق دي چې کومه سرچینه قانوني ده.

هغه سرچینه وټاکئ چې همتا یې باید وویني

د پوډ پتو ساتل دقیق تړون دی. لرې اړخ هغه کاري بار ویني چې ترافیک یې جوړ کړ، لاګونه صادق پاتې کیږي، او د هر پوډ لپاره پالیسي ممکنه کیږي. بیه یې دا ده چې همتا باید د پوډ مخکښه وړي.

د نوډ پتو ساتل ارزانه تړون دی. د هغه هدف لپاره masquerade بیا فعال کړئ، او همتا به هغه پته ویني چې دمخه پرې باور لري.

یوه پوښتنه د دوی ترمنځ فیصله کوي: همتا له سرچینې سره څه کوي؟ که لاګ ولیکي، د هرې سرچینې لپاره پالیسي پلي کړي یا تنګه بیرته روټینګ ولازم کړي، نو پوډ پتې اضافي ترتیبات توجیه کوي. که یوازې ځوابونه ولیږي، masquerade لږ لګښت لري او له بل اړخ څخه هیڅ نه غواړي. هر انتخاب د دفاع وړ دی تر څو چې دواړه ټیمونه یې ولیکي.

دریم انتخاب معمولاً تېروتنه ده: هر څه masquerade کول او د ترافیک د نسبت ورکولو وړتیا له لاسه ورکول. له دې څخه ډډه وکړئ پرته له دې چې همتا واقعاً د نوډ پتو پرته بل څه روټ نشي کولی.

nonMasqueradeCIDRs ریښتینو سیمو ته ونیولئ

GKE په kube-system کې ip-masq-agent چلوي، او د هغې ConfigMap هغه هدفونه لیستوي چې masquerade پرېږدي. د تونل په لور د پوډ سرچینو ساتلو لپاره د پوډ سیمه، د نوډ فرعي شبکه او سیمه ییز مخکښه ټول په دې لیست کې راځي.

بېلګې ارزښتونه له خپل کلسټر څخه د سیمو سره بدل کړئ. لیست له اړتیا څخه پراخ مه جوړوئ، ځکه هر اضافي ننوتل بدلوي چې بل هدف څه ویني. لاندې درې ننوتل د پوډ شبکه، د نوډ فرعي شبکه او د تونل شاته مخکښه استازیتوب کوي:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

د 0.0.0.0/0 ننوتل د ټولو هدفونو لپاره masquerade بندوي، چې بدلوي چې نااړوند کاري بارونه بهرنیو خدمتونو ته څنګه ښکاري او په ندرت سره قصد کیږي. ایجنټ خپل ترتیبات په resyncInterval کې بیا لولي، نو بیا پیلول معمولاً اړین نه دي. وګورئ چې د ایجنټ پوډ چلیږي، بیا د هغې دننه نصب شوې فایل پرانیزئ. همدا فایل لوستل ثابتوي چې بدلون ورسېد.

د ځواب لار بله نیمه ده

Masquerade یوازې د غوښتنې سرچینه بدلوي او نه بل څه. هر هغه سرچینه چې همتا یې ترلاسه کوي، هغې ته بیرته د تګ لاره ورته اړینه ده، او کلسټر ته هم د همتا په لور لاره اړینه ده.

په VPN دروازه کې نیول دوه نیمګړتیاوې ژر بېلوي. هغه پاکټونه چې د پوډ پتو سره راځي او هیڅکله ځواب نه ترلاسه کوي معنا یې دا ده چې همتا د پوډ مخکښې لپاره لاره نه لري. هغه ځواب چې په دروازه کې ښکاري خو هیڅکله کلسټر ته نه رسیږي معنا یې دا ده چې سیمه ییزه لاره ورکه ده. په هر حال تړون په ټکټ کې ولیکئ: همتا کومه سرچینه ویني، او کومې مخکښې ته بیرته روټ کوي.

له هر تازه کولو وروسته بیا وګورئ

د masquerade ډیفالټ چلند یو ځل دمخه بدل شوی، او د نوډ حوض بدلول کېدای شي د کلسټر شبکه بیا تنظیم کړي. د سرچینې تړون د اټکل وړ نه، د تایید وړ وګڼئ.

له تازه کولو وروسته له یوه پوډ څخه سیمه ییز خدمت ته یوه غوښتنه ولېږئ او هغه سرچینه ولولئ چې همتا یې لاګ کوي. همدا یوه مشاهده هغه بیرته تګ غصبوي چې د تونل د حالت پاڼه به په خوښۍ سره سالم راپور کړي. تکرار یې یوه دقیقه نیسي او د بل کس یوه ماښام ژغوري.