kubectl ma xallin karo API-ga kooxda gaarka ah iyada oo loo marayo OpenVPN

kubectl wuu ku guuldareystaa raadinta magaca iyadoo tunelku shaqeynayo oo ciwaanka gaarka ah ee API-gu wali ka jawaabayo ping. Waddadu waa sax; macmiilku wuxuu weydiinayaa xalliya aan waligiis maqal aagga gaarka ah ee kooxda. Laba hagaajin ayaa inta badan la isticmaalaa: dirista xalliyaha shabakadda macmalka ah macmiil kasta oo VPN ah, ama magaca ku dhejinta gudaha iyada oo la isticmaalayo gelin hosts ama gudbine shuruudaysan. Waxay xalliyaan isla calaamadda iyada oo leh milkiyad kala duwan, iyo isku qasidda iyaga ayaa sababa kooxuhu inay wax ka beddelaan faylalka hosts mar kasta oo barta dib loo dhiso.

Xallinta iyo gaaritaanku waxay ku guuldareystaan lakabyo kala duwan

Raadinta adiga laftaadu samee ka hor inta aanad wax beddelin. getent hosts Linux ama nslookup Windows wuxuu kuu sheegaa haddii macmiilku jawaab helo; waqti-dhaaf ama NXDOMAIN waxay tilmaamayaan xalliyaha, halka jawaab cinwaan khaldan leh ay tilmaamayso diiwaan duugoobay ama ka bax awgeed.

Kadib xaqiiji serverkee kubectl dhab ahaan wacayo. Macnaha kubeconfig wuxuu kaydiyaa URL, waddada VPN-na ma qorto: haddii macnuhu sheegto barta dadweynaha, DNS ayaa fiicnaan kara amarka-na wuu guuldareystaa.

getent hosts api.internal.example
kubectl config view --minify -o jsonpath='{.clusters[0].cluster.server}'
kubectl -v=8 get nodes 2>&1 | head -40

Calaamadda saddexaad waa qaabka guuldareysta ka dib raadinta. Magac ku xallima cinwaanka gaarka ah kadibna la kulma waqti-dhaaf TCP waa dhibaato dab-damis ama shabakad la oggolaaday. Magac ku xallima cinwaan dadweyne waxay ka dhigan tahay in weydiintu ka baxday aagga gaarka ah. Kala sooc saddexda natiijo; mid kastaa wuxuu kuu diraa milkiile kale.

Xulasho A: u dir xalliyaha shabakadda macmalka ah tunelka

Marka serverka VPN uu ka shaqeeyo gudaha shabakadda macmalka ah, macmiilladu waxay isticmaali karaan isla xalliyaha serverka. OpenVPN Community serverku wuxuu diraa xulasho DNS; Access Server wuxuu muujiyaa isla dejinta interface maamulka, macmiilladuna waa inay mar kale soo dejiyaan profile-ka sababtoo ah tilmaanta DNS waxay ku safartaa gudaha.

# server.conf
push "dhcp-option DNS 10.0.0.4"
push "route 10.0.0.4 255.255.255.255"

Sadarka waddada ayaa muhiim u ah profiles split tunnel. Dirista cinwaan xalliye ma aha isla sida uu gaari karo: haddii kaliya subnet-ka kooxdu mara tunelka, weydiinta 10.0.0.4 waxay ka baxdaa LAN maxalliga ah wayna dhimataa. U dir waddo martigeliye xalliyaha, ama ku dar subnet-kiisa tunelka.

Dhinaca qaataha sidoo kale wuxuu leeyahay siyaasad. Xalliye laga gaari karo xadka ciwaanka macmiilku wali wuu diidi karaa weydiimaha ka imanaya, aagga gaarka ah ee ku xiran shabakadda macmalka ahna wuxuu ka jawaabaa kaliya macmiillada ka yimaada jidka DNS ee shabakaddaas. Haddii raadintu waqti-dhaaf ka dib dirista, fiiri diiwaannada xalliyaha laftiisa ka hor inta aanad mar kale taaban macmiilka.

Macmiilka, xaqiiji waxa la isticmaalay: resolvectl status Linux systemd-resolved, scutil --dns macOS, ipconfig /all Windows. Server DNS la diray oo waligiis soo bixin waxay ka dhigan tahay profile-ka dib looma soo rarin.

Xulasho B: gelinta hosts iyo gudbin shuruudaysan

Gelinta hosts waa hagaajinta ugu yar ee suurtogal ah iyo tan ugu jilicsan. Waxay ku xirtaa hal magac hal cinwaan hal mishiin, sidaas darteed waxay u shaqaysaa bandhig waxayna jabtaa marka barta gaarka ah ama IP-geeda dib loo dhiso. Sidoo kale waxay kooxda kale ka qarinaysaa farqiga dhabta ah.

Gudbine shuruudaysan ayaa si ka wanaagsan u cabbirma isagoo aan DNS u dirin macmiil kasta. dnsmasq wuxuu u diri karaa hal aag xalliyaha VNet oo wuxuu ka tagi karaa wax kasta oo kale: server=/cluster.internal/10.0.0.4. DNS-ka Windows wuxuu leeyahay gudbiyeyaal shuruudaysan, macmiillada Windows-na waxay isticmaali karaan qaanuunka NRPT isla qaybintaas. Gudbinku wali wuxuu u baahan yahay waddo xalliyaha VNet.

Gudbintu waxay browsing-ga caadiga ah ku haysaa gudaha, taas oo muhiim u ah split tunnel. Waxay sidoo kale ku siinaysaa hal meel oo lagu diiwaangeliyo weydiimaha aagga gaarka ah, iyo hal meel oo jabta marka martigeliyaha gudbinku guuro.

Ku dooro milkiyad, ma aha raaxaysi

U dir xalliyaha marka aad maamusho profile-ka VPN oo aad rabto in magac kasta oo gaar ah shaqeeyo, ma aha kaliya API. Dooro gudbine marka macmiilladu ay tahay inay hayaan DNS maxalli ah wax kasta oo kale, ama marka VPN-ka uu maamulo koox ka duwan kooxda.

Gelinta hosts waa baaris, ma aha hirgelin. Isticmaal mid si aad u caddayso in API-gu gaari karo, ka dib ka saar oo hagaaji jidka xalliyaha; haddii la tago meesha waxay su'aasha waddada u beddelataa baaritaan khasnad ah mar dambe. Xulasho kasta oo aad dooratid, qor aagga, cinwaanka xalliyaha iyo waddada qaadda weydiinta.

Tijaabi barta API, ma aha kaliya magaca

Marka raadintu guulaysato, soo qaado barta nooca API oo leh CA kooxda. curl --cacert ca.crt https://api.internal.example:6443/version waxay kala soocdaa guuldareysta TLS iyo fasaxa DNS. 403 waxay ka dhigan tahay magaca iyo xidhiidhka way shaqeeyaan aqoonsiga-na maya.

Sidoo kale hubi haddii xadka ciwaanka macmiilku uu ogolaaday shabakadaha la fasaxay ama dab-damiska kooxda. Kooxaha gaarka ah waxay inta badan aqbalaan taraafikada API kaliya VNet ama xadadka peer, sidaas darteed tunel ku qoondeeya cinwaanno ka socda barkad kale wuxuu ku xidhmaa lakabka shabakadda waxaana lagu tuuraa API-ga.

Qor afar xaqiiqo marka aad kordhiso: xalliyaha macmiilku isticmaalay, cinwaanka uu soo celiyay, URL serverka ee macnaha kubeconfig la doortay, iyo hawlgalkii ugu horreeyay ee guuldareystay. Diiwaankaasi wuxuu u sheegaa injineerka xiga haddii uu beddelo DNS, waddo ama siyaasadda dab-damiska, wuxuuna joojinayaa wax-ka-beddelka xiga ee faylka hosts.

Ku bilow raadinta, dooro jidka xalliyaha ee u dhigma kan leh aagga, ka dib xaqiiji barta. Haddii saddexduba gudbaan, dhibaatada hadhay waa fasax, ma aha xallinta magacyada.