VPN-ga Pod ee Kubernetes iyo albaabka bixidda: yaa leh tunnel-ka?

Waxaad geyneysaa Pod la yiraahdo vpn-gateway, waxaad u jeedisaa macmiil tijaabo cinwaankiisa oo waxaad aragtaa baakadaha oo lumaya. Waxba khaldan ma jiraan manifest-ka dhexdiisa oo kubelet wax cabasho ah ma qabo. Sababtu waa qaab-dhismeed, ma aha habayn: Kubernetes wuxuu Pod kasta siiyaa isku-duubnaantiisa shabakadeed, sidaas darteed magac, calaamad ama isku-duubnaan API la wadaago waxba kama beddelaan halka baakadaha tagaan. Sidaas darteed go'aanka ku saabsan sida gaadiidka VPN uga baxo kooxda wuxuu ka bilaabmaa su'aal ku saabsan lahaanshaha, ma aha sawirada weelka.

Laba hab ayaa daboola inta badan geynta dhabta ah, mana kala beddelmi karaan. Mid wuxuu tunnel-ka dhigaa isku-duubnaanta shabakada shaqada. Kan kale wuxuu CNI-ga ka codsadaa inuu gaadiidka la doortay ku horseedo nood albaab oo loo xilsaaray. Waxay ku guuldareystaan siyaabo kala duwan, waxay u qiyaasaan siyaabo kala duwan waxayna ka jawaabaan kooxo kala duwan, taasina waa sababta su'aasha weelku ay inta badan keento dood aan waligeed dhammaanin.

Xadka Pod waa isku-duubnaan, ma aha martigeliyaha boodboodka

Isku-duubnaanta shabakada Linux waxay leedahay is-dhexgalkiisa, cinwaannadiisa, waddooyinkiisa iyo xeerarkiisa dab-damiska, Pod kastana mid buu helaa. Weelasha Pod-kaas gudihiisa ku jira way ku biiraan, taasina waa sababta weel caawiye uu dib u qori karo waddooyin ay codsiga markaas raaco. Pod derisku wuxuu leeyahay isku-duubnaan isku mid ah oo muuqda laakiin gabi ahaan gooni ah. Ma jiro shax la wadaago oo Pod albaabku dhaxli karo, iyo ma jiro gudbin dadban oo gaadiidka ah oo ka socda isku-duubnaan mid kale.

Taasi waa sababta qaabka Pod-albaabku u shaqeeyo kaliya marka wax ka sarreeya uu runtii baakado u soo diro: Service, waddo taagan oo ku taal noodka ama siyaasad hanuunin oo CNI-ga ku jirta. Cinwaan keligiis waxba ma soo jiito.

Waxa tunnel-ka Pod kastu iibsado, iyo waxa uu ku kacayo

Tunnel-ka ku socda isku-duubnaanta shaqada wuxuu shaqadaas siiyaa aqoonsigeeda macmiil, taas oo adeegyo badan oo marin fog ay dalbaan ka hor inta aanay fasixin ama xisaabin kulan. Baaxadda waxyeelladuna sidoo kale way sii ahaanaysaa mid maxalli ah: tunnel jaban wuxuu joojinayaa hal Deployment halkii waddada la wadaago oo wax walba isticmaalaan. Sida uu u socdo waxay ku xidhan tahay fulinta, meeshana dadku waxay ku qiyaasaan si khaldan.

Dejinta u baahan kaliya xaaladda kernel waxay ku dhammaan kartaa weel init oo bixi. Daemon-ka booska isticmaalaha ee ay tahay inuu noolaado inta uu Pod-ku nool yahay wuxuu u baahan yahay qaabka weel init dib loo bilaabi karo oo loo soo bandhigay sidecar asalka ah Kubernetes 1.29, farqigaasna wuxuu ka yimaadaa fulinta tunnel-ka ee ma aha dhadhan. Qiimaha qaabkani waa isku-celin: replica kastaa way xaqiijisaa, waxay heshaa cinwaankeeda tunnel, waxayna qaadataa boos kulan fog, sidaas darteed dhacdada iskeelka noqotaa dhacdo awood ah dhinaca kale ee xiriirka. Koobi hal aqoonsi oo lagu ridayo dhammaan replica-yada ma tirito qiimahaas, waxay tirisaa raadka hantidhawrka. Awoodahana waxay mudan yihiin isla baaritaankaas, sababtoo ah tunnel-ka doonaya NET_ADMIN isku-duubnaantiisa ma laha sabab uu ku dhaxlo awoodda martigeliyaha oo dhan tusaale leh privileged: true.

Marka CNI-ga leeyahay bixidda

Haddii CNI-gu taageero, albaabka bixiddu wuxuu doortaa gaadiidka shaqada iyo baaxadda bartilmaameedka, ka dibna wuxuu u maraa nooddo la doortay isagoo hoos imanaya hal cinwaan isha la saadaalin karo. Nuqulka Cilium waa tixraaca caadiga ah, dukumeentigiisuna si cad ayuu u sheegayaa in astaamuhu u baahan yihiin habayn Cilium gaar ah iyo nooddo albaab oo leh is-dhexgalka iyo cinwaannada saxda ah. Waxay sidoo kale xustaa muddo bilow ah ka dib abuurka Pod marka hanuunintu aan weli la dhaqan gelin, taas oo ah gelin naqshadeed ee ma aha qoraal hoose.

Akhri dib-taaggaas marka la barbardhigo ballantaada. Haddii qaanuunku yahay in aan gaadiid u bixin karin waddo kale, Pod cusub oo dira inta farqiga u dhaxaysa ayaa hore u jebiyay, sidaas darteed isku-xigga bilaabista wuxuu u baahan yahay jawaab u gaar ah: hayso codsiga ilaa siyaasaddu dhaqan galayso, ama aqbal daaqadda oo diiwaangeli.

Hayso sheegashada mid cidhiidhi ah. Albaabka bixiddu wuxuu doortaa waddo oo tarjumaa. Ma dhammeeyo VPN, mana ka dhigto kooxda macmiil shabakadaada fog iyada oo aan xiriir la taageeray gadaal ka jirin.

Turjumaaddu si aamusan bay u beddeshaa waxa dhinaca fog arko

Marka albaabku dib u qoro isha, cinwaannada Pod kastaa way lumaadaan, sidaas darteed liis fasax oo ku salaysan aqoonsi wuxuu noqdaa liis ku salaysan hal cinwaan la wadaago. Waa is-dhaafsiga ee ma aha cillad: xeerar yar oo lagu dayactiro, u nisbayn qallafsan marka wax si xun u dhaqmo.

Xaqiijinta heerka codsiga iyo diiwaangelinta codsiyadu waa inay qaadaan waxa shabakaddu aanay hadda soo sheegayn. U qaado awoodda albaabka iyo beddelkiisa sida kaabayaal la wadaago, sababtoo ah dib u bilaabista hal nood ayaa hadda carqaladaynaysa shaqo kasta oo gadaasheeda ah, oo hubi waddada soo noqodka goor hore: dhinaca fog waa inuu ogaadaa sida loo gaaro cinwaanka la tarjumay, inta badan iyada oo loo marayo waddo ama NAT oo qof, ma aha manifest, waa inuu leeyahay. Qorshaynta cinwaannaduna halkan bay ku biirtaa, sababtoo ah baaxadaha is-dulsaara ee kooxda iyo kan fog waxay jebiyaan labada qaab, qaadashada IPv6na ma cudurdaarto qorshe is khilaafsan.

Go'aan ku gaar lahaanshaha, ka dibna tijaabi guuldarada aad ballanqaaday

Dooro tunnel-ka Pod kasta marka adeegga fog uu xaqiijiyo shaqooyin gaar ah, marka Deployment yar oo kaliya ay u baahan yihiin xiriirka, iyo marka guuldarradu tahay inay sii ahaato mid maxalli ah. Dooro albaabka marka koox shabakadeed hore u leedahay waddada, marka shaqooyin badan ay wadaagaan hal bartilmaameed, iyo marka cinwaan isha deggan yahay ujeedka dhan ee layliska.

Si kastaba ha ahaatee, xaqiiji hantida aad iibisay ee ma aha xaaladda deggan. Abuur Pod, u ogolow inuu isla markiiba diro oo daawasho sekanooyinka ugu horreeya haddii ballanku ahaa in waxba kama baxsan karo tunnel-ka. Kordhi ilaa shan replica oo tiri kulamada ay dhinaca fog soo sheegto haddii ballanku ahaa aqoonsi shaqo kasta. Labada baaritaan waxay daaha ka qaadaan xadka habka si palag ah ka degdeg badan dib u eegista manifest-ka, waxayna kuu sheegaan kooxdee leh dhacdada xigta.