Pod-yada GKE waxay lumiyaan gelitaanka VPN ka dib 1.14: laba hab oo isha loo saxo

Ka dib 1.14 pod-yadu waxay VPN ku gaadhaan cinwaannadooda, sidaas darteed fac-weynaha waxay tuuraan jawaabaha. Dooro heshiiska isha, ka dibna u deji nonMasqueradeCIDRs si uu u dhigmaan.

Cusboonaysiin ayaa yimaadda, nidaamyada dhinaca kale ee tunnel-ka waxay bilaabaan inay diidaan taraafikada pod-yada oo shaqaynayay toddobaadkii hore. Tunnel-ku wuu furan yahay, xeerarka firewall-ka lama taaban, qofna ma tafatirin siyaasadda fac-weynaha. Waxa isbeddelay kama muuqdaan diiwaannada cluster-ka: cinwaanka isha ee nidaamyadaas hadda arkaan. Farqigaas waxa uu sharaxaa cilad u eg xannibaad shabakadeed oo u dhaqanta sida dhibaato ogolaansho.

Waxaa jira laba jawaab oo sax ah, waxayna kuu horseedaan meelo kala duwan. Dooro heshiiska isha ka hor inta aanad tafatirin ConfigMap.

Sharciga caadiga ah ee la joojiyay rakibiddiisa

Noocyadii hore ee GKE waxay rakibi jireen sharciga masquerade kaas oo beddela isha pod-yada cinwaanka noodhka mar kasta oo meesha loo socdo ka baxsan tahay 10.0.0.0/8. Albaabka VPN ee gudaha xadkaas waxa uu arkay cinwaanka pod-ka, halka wax kasta oo ka fog uu u muuqday inuu ka yimid noodhka. Fac-weynayaashu waxay dhiseen liisas oggolaansho iyo waddooyin ku-noqosho ah hareeraha cinwaannada noodhka sababtoo ah taas bay arkeen.

Noocyadii dambe waxay joojiyeen rakibidda sharcigaas caadiga ah. Taraafikada pod-yada hadda waxay albaabka ku timaaddaa cinwaannada pod-yada, meesha loo socdo ha ahaato wax kasta. Fac-weyne kaliya cinwaannada noodhka mariya wuu tuuraa jawaabaha, oo qolo walba ma qorto diiwaan faa'iido leh. Codsku waxa uu xitaa ku guulaysan karaa dhinaca fog, taasina waa waxa ciladdu adag tahay in la dabagalo.

Waxba ma jaban yahay macnaha qayb dhintay. Labada dhinac kaliya kuma heshiin isha kee baa sharci ah.

Dooro isha ay fac-weynaha tahay inuu arko

Haynta cinwaannada pod-yada waa heshiiska saxda ah. Dhinaca fog waxa uu arkaa culayska shaqada ee taraafikada abuuray, diiwaannadu daacad bay noqdaan, oo siyaasad pod kasta way suurtogal noqotaa. Qiimuhu waa in fac-weynaha uu qaado horgalaha pod-yada.

Haynta cinwaannada noodhka waa heshiiska jaban. Dib u shid masquerade-ka meeshaas loo socdo oo fac-weynaha waxa uu sii arkaa cinwaan uu hore u aaminsanaa.

Hal su'aal ayaa dhexdooda go'aamisa: fac-weynuhu maxay ku sameeyaan isha? Haddii ay diiwaan qoraan, siyaasad ku saleysan isha ku dhaqmaan ama mariin ku-noqosho cidhiidhi ah ku qasbaan, cinwaannada pod-yada waxay caddeeyaan habaynta dheeraadka ah. Haddii ay uun u baahan yihiin inay jawaabo diraan, masquerade-ku wuu yaraataa oo waxba kama doonayo dhinaca kale. Labada doorasho mid kastaa waa la difaaci karaa haddii labada kooxood ay qoraan.

Doorashada saddexaad badanaa waa khalad: wax kasta masquerade ka dhigid iyo luminta awoodda taraafikada loo aaneeyo. Ka fogow haddii aan fac-weynuhu run ahaantii marin karin wax kale oo aan ahayn cinwaannada noodhka.

U jeedi nonMasqueradeCIDRs xadka dhabta ah

GKE waxa uu ku socodsiiyaa ip-masq-agent gudaha kube-system, ConfigMap-kiisuna waxa uu liis dhigaa meelaha loo socdo ee dhaafi masquerade-ka. Si loo ilaaliyo isha pod-yada xagga tunnel-ka, xadka pod-yada, subnet-ka noodhka iyo horgalaha gudaha dhamaan waxay ku jiraan liiskaas.

Ku beddel qiyamka tusaale xadad ka mid ah cluster-kaaga. Ha ka ballaarin liiska wax ka badan inta loo baahan yahay, sababtoo ah qoraal kasta oo dheeraad ah waxa uu beddelaa waxa meel kale oo loo socdo aragto. Saddexda qoraal ee hoose waxay matalaan shabakadda pod-yada, subnet-ka noodhka iyo horgalaha ka dambeeya tunnel-ka:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

Qoraal 0.0.0.0/0 waxa uu damiyaa masquerade-ka meelaha loo socdo oo dhan, taas oo beddesha sida culaysyada shaqada aan xidhiidhin ugu muuqdaan adeegyada dibadda oo badanaa lama doono. Wakiilku waxa uu dib u akhriyaa habayntiisa resyncInterval, sidaas darteed dib u bilaabid badanaa lama baahna. Hubi in pod-ka wakiilku socdo, ka dibna fur faylka lagu rakibay gudihiisa. Akhrinta faylkaas ayaa caddaynaysa in isbeddelku soo gaadhay.

Waddada jawaabtu waa qaybta kale

Masquerade-ku waxa uu beddelaa isha codsiga oo wax kale ma beddelo. Isha kasta oo fac-weynuhu helo, weli waxa uu u baahan yahay waddo ku noqosho, cluster-kuna weli waxa uu u baahan yahay waddo xagga fac-weynaha.

Qabashada albaabka VPN waxay si degdeg ah u kala soocdaa labada cilad. Baakadaha ku yimaadda cinwaannada pod-yada oo waligood jawaab helin waxay ka dhigan tahay in fac-weynuhu uu ka maqan yahay waddo horgalaha pod-yada. Jawaab ka muuqda albaabka laakiin waligiis aan gaadhin cluster-ka waxay ka dhigan tahay in waddada gudaha maqan tahay. Si kasta ha ahaatee heshiiska ku qor tikitka: isha kee fac-weynuhu arko, iyo horgalaha kee uu dib u mariyo.

Dib u hubi ka dib cusboonaysiin kasta

Dabeecadda caadiga ah ee masquerade hore ayaa mar isbeddelay, beddelidda kooxda noodhadhna waxay dib u dhiggi kartaa shabakadda cluster-ka. U qaado heshiiska isha sida wax la hubiyo, ee ma aha wax la malo.

Ka dib cusboonaysiin, ka dir hal codsi pod-ka oo u socda adeeg gudaha oo akhri isha uu fac-weynuhu diiwaangeliyo. U fiirsashadaas keligeed waxay qabataa dib-u-dhac ay bogga xaaladda tunnel-ku si farxad leh uga wargelin lahaa inuu caafimaad qabo. Ku celinta waxay qaadataa hal daqiiqad oo waxay badbaadisaa qofka xiga fiid.

Maqaallo la xiriira