Dhig API-ga EKS ka dambeeya VPN: nidaamka hawlgallada

Daar geli endpoint-ka gaarka ah, caddee in kubectl uu gaadhay, kadib xir kan dadweynaha. Runbook tallaabo-tallaabo leh oo wata amarrada iyo hubinta u dhexeeya tallaabo kasta.

Nooca khatarta ah ee isbeddelkan waa hal amar oo roga endpoint-ka oo isku mar xira dhammaan maamulayaasha. Nooca ammaan ah wuxuu labada waddo furan hayaa, caddeeyaa in kan gaarka ahi shaqeeyo marka laga yimaado VPN, kadibna kaliya ayuu ka noqdaa endpoint-ka dadweynaha. Ka fikir cluster jira, tunnel la ansixiyay oo galay VPC-giisa iyo kubeconfig horey u shaqeynayay; shaqadu waa gelitaan gaar ah oo ku wajahan API-ga Kubernetes, ma aha nodes gaar ah iyo ma aha qaab ogolaansho cusub. Tallaabo kasta oo hoose waxay leedahay hubin si ammaan ah ugu guuldareysan karto.

1. Liis geli endpoint-ka oo hay waddo dib ugu noqosho

Diiwaan geli xaaladda hadda jirta ka hor inta aanad beddelin, oo ay ku jiraan liiska CIDR-ka dadweynaha ee la oggolaaday iyo kooxda amniga cluster-ka. Labadan ayaa aad isbarbardhigi doontaa marka wax shaqeyn waayo, liiska la oggolaadayna waa waddadaada dib u noqosho haddii waddada gaarka ahi khaldan timaado.

aws eks describe-cluster --region REGION --name CLUSTER \
  --query 'cluster.{endpoint:endpoint,public:resourcesVpcConfig.endpointPublicAccess,private:resourcesVpcConfig.endpointPrivateAccess,cidrs:resourcesVpcConfig.publicAccessCidrs}'

REGION iyo CLUSTER waa meel-hayayaal halkan. Fiiri waxa calanka gaarka ahi hadda akhriyo, maxaa yeelay cluster lagu abuuray gelitaan gaar ah oo horey u shaqeynayay waxay u baahan tahay tallaabo koowaad ka duwan mid aan waligiis haysan. Inta lagu jiro kala-guurka hay ugu yaraan hal waddo maamul oo la ansixiyay furan; VPN ku tiirsan in isla cluster-ka la gaadhi karo ma aha waddo soo-kabasho.

2. Daar geli gelitaanka gaarka ah marka waddada shabakaddu diyaar tahay

Calanka shididdu waa qeybta fudud. Tunnel-ku wuxuu u baahan yahay waddo u socota ciwaannada gaarka ah ee endpoint-ka, kooxda amniga cluster-kana waxay u baahan tahay TCP 443 isha VPN-ku si dhab ah u soo bandhigo. Xiriirka Client VPN, gateway site-to-site iyo VPC la peer-gareeyay dhammaantood waxay soo bandhigi karaan ciwaanno isha kala duwan, marka isticmaal qaabka aad daabacday halkii aad ka isticmaali lahayd xad gaar ah oo guud.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=true,endpointPrivateAccess=true

aws eks describe-update --region REGION --name CLUSTER --update-id UPDATE_ID

Cusboonaysiintu waa asynchronous. Weydii id-ka cusboonaysiinta ilaa uu ka warbixiyo guul halkii aad ka sugteen tiro ilbiriqsiyo ah oo aad qiyaasi lahayd. Inta aad tan sameyso iska daa taraafikada nodes-ka iyo diyaaradda kontoroolka: beddelka dhammaan kooxda amniga cluster-ka oo lagu beddelo qaanuun loogu talagalay laptop-kaaga waa sida diyaarad xogeed shaqeysa ay u noqoto dhacdo labaad.

Dukumeentiga endpoint-yada EKS waa mudan in hal mar si buuxda loo akhriyo, maxaa yeelay waxay sheegaysaa in gelitaanka kaliya-gaarka ahi uu ka iman karo VPC ama shabakad xiriir leh. Jumladaas ayaa ah sababta oo dhan ee hijradan suurtagal tahay, waana sababta tallaabada xigta ay u jirto.

3. Caddee in goobta shaqadu isticmaashay waddada gaarka ah

Marka labada endpoint ay shaqeeyaan, kubectl get ns guuleysta waxba ma caddeeyo ku saabsan midka jawaabay. Xalli magaca host-ka endpoint-ka oo hubi in ciwaanka aad heshay uu ka tirsan yahay xadka gaarka ah ama kan dadweynaha. Haddii shabakaddaada xiriirka leh aysan DNS ka helin aragtida gaarka ah, amarku wuxuu ku guuleysan doonaa endpoint-ka dadweynaha oo waxaad ka noqon doontaa waddada dadweynaha iyadoo ku saleysan caddayn been ah. Tani waa habka ugu caansan ee hijradan khaldanto, waxayna u egtahay si sax ah guul.

nslookup HASH.gr7.REGION.eks.amazonaws.com
kubectl cluster-info
kubectl get ns --request-timeout=10s

Hay magaca host-ka iyo xaqiijinta shahaadada sida ay yihiin. Ku beddelka IP gaar ah kubeconfig-ka iyo boodidka xaqiijinta TLS ma aha hijradii aad ku sharraxday diiwaanka isbeddelka, waxayna mar kale ku guuldareysan doontaa daqiiqada endpoint-ku wareego.

4. Si ula kac ah uga noqo gelitaanka dadweynaha

Marka waddada gaarka ah la muujiyo oo habka soo-kabashada la ansixiyo, xir endpoint-ka dadweynaha. Kani waa isbeddel dhab ah ee ma aha hor-fiirin, marka ku socodsii xisaabta iyo dejimaha aad dhab ahaan ula jeedo.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=false,endpointPrivateAccess=true

Habka kaliya-gaarka ah magaca DNS-ka dadweynaha wuxuu u xallimaa ciwaannada gaarka ah ee endpoint-ka gudaha VPC, marka xallinta iyo gaaritaanku ma aha wax isku mid ah. Wax kasta oo ku tiirsanaa ciwaanka dadweynaha, oo ay ku jiraan CI runners ama laptop ku sugan shabakad kale, hadda waxay u baahan yihiin waddo gelitaan u gaar ah.

5. Kala hay siyaasadda shabakadda iyo siyaasadda aqoonsiga

Liiska CIDR-ka gelitaanka dadweynaha wuxuu maamulaa kaliya endpoint-ka dadweynaha. Ma xaddido endpoint-ka gaarka ah, kaas oo beddelkiisa lagu xaddido kooxda amniga cluster-ka iyo siyaasadda shabakadda xiriirka leh. Haddii aad haysato endpoint-ka dadweynaha, liiskiisa la oggolaaday waa inuu la jaanqaado bixitaanka dadweynaha ee macaamiisha API iyo nodes-ku si dhab ah u isticmaalaan; ciwaanka barkada VPN ayaa dhif ah inuu ishaas noqdo.

Midkoodna ma beddelo IAM ama Kubernetes RBAC. Dejimaha endpoint-ku waa ficil maamul, dadka caadigana waa inaan la siin fasax ay ku dabciyaan xuduudda kaliya si ay API-ga u gaadhaan. Qor xaaladda ugu dambaysa, taariikhda iyo waddada soo-kabashada runbook-ka, kadibna hal mar tijaabi waddada soo-kabashada inta ay weli fudud tahay.

Maqaallo la xiriira