IP-ga macmiilka VPN gudaha Kubernetes: ma xafidaynaa mise SNAT?

Meel u dhaxaysa tunnel-ka iyo backend-ka, ciwaanka macmiilku wuu sii noolaadaa ama waa la beddelaa, labada natiijo waxay difaacan karaan. Doorashadu waxay leedahay mulkiilaha adeegga qaata, ma aha kan rakibay CNI. Marka oggolaanshaha macmiil kasta, kootada ama diiwaanka hubinta ay muhiim yihiin, ciwaanku waa inuu ka gudbaa tallaabo kasta. Marka loo nisbayn wadaag ah la aqbali karo, NAT-ka ishu wuxuu meesha ka qaadaa dhibaato dariiqa ah oo aad haddii kale waligaa ilaalin lahayd.

Halka ciwaanka macmiilku dhab ahaantii ku lumo

Baakadda macmiilka fog waxay gaartaa pod-ka VPN iyadoo leh isha gudaha ee ku dhex jirta xadka tunnel-ka, gudaha 10.90.0.42. Marka pod-ku baakaddaas u gudbiyo dhinaca ClusterIP ama IP pod, saddex hab oo kala duwan ayaa dib u qori kara isha. Qaanuunka masquerade ee CNI ee noodhka wuxuu daboolaa taraafikada ay pod-ku u dirto banaanka CIDR-ka kooxda. Diiwaanka conntrack ee kube-proxy ee noodhka loo socdo wuxuu daboolaa tallaabada Service-ka laftiisa. Proxy-ga joojiya xiriirka gebi ahaanba ma gudbiyo baakadda, sidaas darteed isha aad ugu dambayn aragto waxay leedahay proxy-ga.

Mid kastaa wuxuu ku nool yahay lakab kala duwan, taasina waa sababta hal goob oo Service ah uusan ku dhowaad waligiis hagaajin dariiqa oo dhan.

externalTrafficPolicy ee Service-ka dadweynaha ee VPN wuxuu go'aansadaa oo kaliya waxa ku dhaca xiriirka dibadda: Local wuxuu ciwaanka fog ku hayaa noodhka qaatay, halka Cluster u ogolaado kube-proxy inuu baakadda siiyo noodh kale oo halkaas masquerade ku sameeyo. Dejintaas waxay xukuntaa listener-ka ay macmiilladaadu xiriiraan. Waxba kama sheegto baakadda la furfurnay ee ay hawshaada VPN ay kooxda u gudbinayso ka dib.

Saddex shuruudood oo go'aamiya doodda

Waxaan waydiiyaa isla saddexda su'aal isla nidaamkaas mar kasta oo tani soo baxdo, sababtoo ah tan koowaad badanaa waxay soo afjartaa doodda. Ka jawaab iyaga oo ku saabsan culeyska shaqada gaarka ah ee aan ahayn kooxda oo dhan. Laba kooxood oo isku shirkad ah ayaa gaari kara jawaabo kala duwan oo labaduba sax noqon karaan.

Haddii backend-ku ka jawaabo haa su'aasha koowaad iyo maya tan labaad, waxaad haysataa shaqo shabakadeed oo aad qabato ee ma aha manifest aad wax ka beddesho. Haddii safka saddexaad uu yiraahdo proxy, ciwaanku waligiis ma sii noolaan lahaa, oo inaad ka soo horjeeddo taasna waxay ku kacaysaa toddobaad qabashada baakadaha.

Waxa ay preserve mode ka dalbato shabakadda

Xafidista isha macnaheedu waa in noodhka loo socdo uu taraafikada ku soo celiyo 10.90.0.42 isagoo maraya gateway VPN firfircoon. Barkadda VPN ma aha CIDR kooxda, sidaas darteed CNI kuma jiro oo adiga kuu dariiqaysa si caadi ah. Adigu waad ku daraysaa dariiqa, ka dibna waxaad hubisaa in barta ugu dambeysa ee gateway-ga uu tilmaamayo ay ka badbaaddo dib u qorshaynta.

ip route add 10.90.0.0/24 via 10.244.3.17 dev eth0
sysctl -w net.ipv4.conf.eth0.rp_filter=2

Tallaabada xigta waa ciwaanka pod, ciwaannada pod-na way dhaqaaqaan. Dariiqa u jeedi VIP Service ama ciwaanka noodhka meesha joogta, ama aqbal inaad gateway-ga daba oran doonto ka dib kasta oo la saaro. Shaandhaynta dariiqa gadaal waa dabin kale: habka adag wuxuu tuuraa baakadaha aan dariiqadooda soo noqodku la jaanqaadin interface-kii ay ka soo galeen, taasina waa si sax ah qaabka socodka VPN la xafiday.

Hubinta dabacsan ayaa inta badan ah farqiga u dhexeeya dariiqa soo noqod ee shaqeeya iyo jawaabaha lumaya ka dib marka ay backend-ka ka baxaan. Qaanuunnada masquerade ee noodhka VPN sidoo kale waa inay ka reebaan xadka tunnel-ka, haddii kale baakadda la gudbiyay waxay u baxdaa ciwaanka pod-ka, iyadoon loo eegayn dariiqa aad dhistay. Waxaa ka wanaagsan inaad caddayntaas ku muujiso habaynta CNI laftiisa halkii aad gacanta wax ka beddeli lahayd iptables, sababtoo ah wakiilku wuxuu dib u qoraa silsiladihiisa marka uu dib u bilaabmo, qaanuunkaaga gacanta ku qoran-na wuxuu sii noolaadaa si sax ah ilaa casriyaynta xigta.

NetworkPolicy waa xakamaynta gelitaanka, ma aha dariiqa. Adkaynta siyaasad weligeed ma soo celinayso ciwaan masquerade horay u beddelay.

Intee ay SNAT ku kacdo, iyo sida loo qoro

NAT-ka isha ee dhinaca kooxda waa naqshad ka jaban, mana aha khalad. Backend-ku wuxuu arkaa ciwaanka pod-ka ama noodhka VPN, diiwaannadu way is waafaqaan, dariiq soo noqodna maaha inuu jiro. Waxa aad lumiso waa awoodda lagu kala saaro laba macmiil lakabka shabakadda, sidaas darteed kootada, mamnuucidda iyo raadadka hubinta waa inay ka yimaadaan meel kale.

Caadi ahaan meeshaas kale waa barnaamijka: token-ka fadhiga, cinwaanka la saxeexay, ama sadarka borotokoolka PROXY oo uu qoro proxy aad maamusho. Kuwani waxay siinayaan qaataha aqoonsi uu kaliya ku kalsoonaan karo marka proxy-ga jidka ku jiro oo cinwaanka laga ma dhigi karo dhinaca macmiilka. Runbook-ka ku caddee midka khuseeya, sababtoo ah injineerka xiga wuxuu u qaadan doonaa ciwaanka diiwaanka inuu yahay macmiilka. Maaha, oo hal dhacdo ayaa ku filan inay arrintaas qaali ka dhigto.

Is-weydaarsigu wuxuu daacad ahaanayaa inta la qorayo.

Hubinno kala saara dariiqa shaqeeya iyo midka nasiibka leh

Ku tijaabi xiriir cusub halkii aad ka tijaabin lahayd mid kaydka ku jira, oo labada dhinacba ku tijaabi. Dhowr guuldarro ayaa u muuqda kuwo goosgoos ah oo kaliya sababtoo ah socodka cusub ayaa qaata dariiqa dib loo qoray.

Qabo tuple-ka saddex meelood inta lagu jiro hal codsi oggolaansho leh: isla markiiba furfurista ka dib, interface-ka bixista ee pod-ka VPN, iyo backend-ka. Haddii isha isbeddesho inta u dhaxaysa qabashada labaad iyo saddexaad, sababtu waxay ka hooseysaa pod-ka. Haddii ay isbeddesho ka hor tan labaad, pod-ka laftiisa ayaa turjumaaya.

Ka dib tirtir pod-ka VPN oo ku celi tijaabada inta dib loo qorshaynayo. Dariiqa la xafiday ee jabaa marka la saaro waa mid aan dhamaystirnayn, sidoo kale qaanuunka NAT ee ku dheggan ciwaan aan hadda jirin. Ugu dambayns, u dir hal codsi isha aad filayso in la diido oo xaqiiji in diidmadu ka timaaddo siyaasadda ee aan ka iman dariiq maqan.