Pod, vozlišče ali gruča: kaj VPN sidecar v resnici preusmerja

VPN sidecar v Podu Kubernetes je videti kot VPN na ravni gostitelja z boljšim vedenjem, in podobnost se konča na meji imenskega prostora. Vsebniki v enem Podu si delijo omrežni imenski prostor, vključno z naslovnim in vratnim prostorom, zato sidecar, ki namešča poti in politiko, resnično spremeni, kam gredo paketi aplikacije. Za druge Pode na vozlišču ne spremeni ničesar in se ne dotakne lastnega sklada vozlišča, razen če ga tako nastavite. Pravilno razumevanje te meje odloča tako o tem, kaj lahko namestite, kot o tem, kaj morate preizkusiti. Naslednji razdelki temu sledijo od imenskega prostora navzven.

Skupni imenski prostor, skupne posledice

Dva vsebnika v Podu se pogovarjata prek loopbacka in vidita iste vmesnike, in prav zato vzorec sidecar sploh deluje: aplikaciji ni treba vedeti, da tunel obstaja, ker je bila pot, ki jo razreši, nameščena v imenskem prostoru, ki ga uporablja. Ista lastnost pomeni, da so napake sidecarja napake aplikacije. Pot, ki ujame preveč, ali sprememba DNS, ki kaže na razreševalnik znotraj tunela, se takoj uporabi za vsak proces v tem Podu. V skupnem imenskem prostoru ni usmerjanja po vsebnikih, zato sidecarja ni mogoče omejiti na en proces.

To je mehanizem, ki ga velja imeti v mislih med pregledom: obseg vpliva je Pod, ne vozlišče in ne gruča.

Kam sidecar ne seže

Drugi Podi ohranijo svoje imenske prostore in svoje usmerjanje, zato delovna obremenitev, ki potrebuje isti izhod, potrebuje isti sidecar ali namesto tega zasnovo na ravni vozlišča. Tudi promet vozlišča je zunaj imenskega prostora Poda, Pode z gostiteljskim omrežjem pa se tej izolaciji namenoma popolnoma odpovedo. Če sidecar zaženete z gostiteljskim omrežjem, da dosežete nekaj priročnega, ste obseg razširili z enega Poda na celotno vozlišče in to bi morali povedati na glas.

Promet do storitev gruče je drugo pogosto presenečenje. Široka privzeta pot znotraj Poda lahko ujame zahteve, namenjene strežniku API ali storitvi ClusterIP, ki nato spodletijo tako, da je videti, kot da je tunel pokvarjen.

Načrt poti: obsegi Poda, storitve, vozlišča in VPN

Zapišite štiri obsege in jih pred namestitvijo česarkoli preverite glede prekrivanja: CIDR Poda, CIDR storitve, naslove vozlišča in cilje za VPN. Prekrivanje med zasebnimi obsegi VPN in lastnim prostorom gruče ni redko, privzeta pot pa je za to napačna rešitev. Načrt poti sodi v isti repozitorij kot manifest, ker lahko naslednja gruča dodeli povsem drugačne obsege Podov in storitev.

DNS je del načrta in ne ločena skrb. Sidecar, ki prepiše konfiguracijo razreševalnika, lahko pokvari odkrivanje storitev v gruči, medtem ko zunanja poizvedovanja delujejo brezhibno.

Zagon in odpoved sta izrecni stanji

Delujoč proces sidecarja ni izhodna politika. Odločite se, kateri promet lahko teče pred pripravljenostjo tunela, in kaj se zgodi, če pozneje umre, nato to odločitev uresničite: sonda, ki zadrži vsebnik aplikacije, omrežna politika, ki privzeto zavrača, ali oboje. Brez enega od tega se aplikacija zažene, razreši imena in pošlje promet po običajni poti vozlišča, medtem ko se tunel še povezuje.

Ta vrzel je v zdravi gruči kratka in v pokvarjeni trajna, in prav to lastnost ima raje napadalec ali naključno uhajanje podatkov.

Povežite vrstni red s preskusom odpovedi. Ubijte sidecar in potrdite, da aplikacija izgubi predvideni izhod, namesto da se tiho umakne.

Zmožnosti, politike in preskušanje iz vsebnika aplikacije

Podeljevanje zmožnosti, potrebnih za ustvarjanje vmesnikov in spreminjanje poti, je odločitev o privilegijih, in privilegij, primeren za izoliran Pod, ni samodejno primeren na skladu vozlišča. Uporabljajte mehanizme omrežne in varnostne politike, ki jih gruča podpira, in ne predpostavljajte, da vsaka izvedba CNI ali politike obravnava vmesnik VPN enako; razlike se pokažejo prav v primerih odpovedi, ki so vam pomembni.

Preskusite iz resničnega vsebnika aplikacije, z novimi zahtevami do zasebnega cilja, storitve v gruči in javnega interneta. Preskus iz sidecarja dokazuje, da tunel deluje, ne pa da aplikacija doseže, kar potrebuje.

Dokumentirajte omrežne predpostavke gruče ob konfiguraciji VPN. Premikanje delovne obremenitve v drugo gručo je potem vaja v preverjanju načrta poti, ne pa sprememba slike, ki tiho preneha delovati.