Sababta ay pod-yada GKE uga gaari waayaan martigeliyayaasha maxalliga ah VPN-ka

Ping wuxuu ka shaqeeyaa noodhka wuuna ku guuldareystaa pod-ka, waxna ma gaaro dhanka maxalliga ah. Tunnel-ka iyo marinka waa sax; ciwaanka isha ee siligga ma aha. Waxa labada xaaladood kala duwanaa waa waxa uu baakaddu sheegato inuu yahay markuu ka baxo cluster-ka, GKE-na ra'yi ayuu ka qabaa taas. Habka waa liiska ka-reebidda masquerade, akhrintiisuna waxay qaadanaysaa hal amar.

Akhri liiska jira ka hor intaadan wax beddelin

GKE waxay bixisaa wakiil go'aamiya, kala duwanaansho kasta oo yool ah, in taraafikada pod-ka dib loo qoro ciwaanka noodhka marka uu baxayo. Habaynta la bixiyay waxay magacaabaysaa saddexda block RFC1918, 10.0.0.0/8, 172.16.0.0/12 iyo 192.168.0.0/16, yoolal laga reebay. Sidaas awgeed wax kasta oo aad ka dirto pod-ka oo u socda martigeliyaha maxalliga ah 10.x waxay ka baxaan noodhka iyadoo ciwaanka pod-ka laftiisu ku dheggan yahay. Taraafikada noodhka laftiisu dib looma qoro, taasina waa sababta ping-kiisu u shaqeeyo.

Akhri habaynta la qorsheeyay iyo xeerarka la rakibay, waayo way is-diidi karaan. kubectl -n kube-system get configmap ip-masq-agent -o yaml wuxuu muujinayaa waxa wakiilka la yidhi, kubectl -n kube-system get pods -l k8s-app=ip-masq-agent-na wuxuu muujinayaa haddii wax socda ay jiraan si loo dhaqan geliyo. Noodhka iptables-save | grep -i masq wuxuu muujinayaa xeerarka dhab ahaan ku jira kernel-ka. Marka ConfigMap wax sheegto xeerarkuna wax kale, tuhmanaha waa wakiilka ee ma aha shabakadda.

Ku xaqiiji ciwaanka isha qabasho

Samee qabasho ka hor intaadan beddelin liis. Shaandhayn ku taal hal yool ayaa soo-saarka ka dhigta mid la akhriyi karo: tcpdump -ni any host 10.20.30.40.

Isbarbardhig taas iyo waxa dhinaca kale soo sheegayo. Qabasho maxalliga ah oo muujinaysa ciwaanka pod-ka iyo jawaab la'aan waxay xidhaa wareegga: liiska ka-reebidda ayaa sharraxaya isku-dheelitir la'aanta iyada oo aan jirin cillad tunnel. Laba indho-indheyn oo hal ciwaan isha ah ayaa ku filan in laga joojo mala-awaalka CNI.

Ka-reebidda ku xaddid CIDR-ka pod-ka

Dayactirka la taageeray wuxuu yareeyaa ka-reebidda halkii uu ka tirtiri lahaa: ka reeb CIDR-ka pod-ka oo ka tag barta kale ee booska 10.x. Liiskaas waxa uu ku jiraa ConfigMap-ka wakiilka nonMasqueradeCIDRs hoostiisa, beddelkiisuna waa tafatir iyo ka dib fidin. Ku beddel gelinta ballaaran baaxadda pod-ka dhabta ah ee cluster-ka, hayso block-yada kale ee gaarka ah haddii taraafikada cluster-ka gudihiisa ay weli u baahan yihiin, oo ka tag resyncInterval sida uu yahay haddii aanad sabab lahayn. Codso, xaqiiji in pod-yada wakiilka dib u bilaabmeen, oo xaqiiji in xeerarka kernel-ka isbeddeleen.

Kani waa isbeddel cluster-ka oo dhan leh baaxad saameyn dhab ah. Marka uu dhaqan galo, taraafikada horay u haystay isha pod-ka waxay hadda timaaddaa iyadoo noodhka dib loo qoray, sidaas awgeed wax kasta oo ku tiirsanaa ciwaannadaas pod-ka waxay arkaan dirayaal kale. Dhibbanayaashu waa log-yada, liisaska fasaxa iyo xeerarka firewall-ka maxalliga ah ee magacaabaya ciwaannada pod-ka, wayna si aamusan u guuldareystaan. Ku dhawaaq isbeddelka isbeddel dabeecad ah, ma aha dayactir.

Cluster leh dhowr barkadood oo noodh ah, hubi in wakiilka loo qorsheeyay noodhada ay pod-yada saameysan dhab ahaan ku socdaan. Barkad aan DaemonSet lahayn waxay haysataa xeerarkeedii hore, waxna kama muujinayo ConfigMap taas.

Beddelka iyo qiimihiisa

Ikhtiyaarka kale wuxuu ciwaannada pod-ka uga tagaa mid aan la taaban, wuuna baraa marinka iyaga. CIDR-ka pod-ka wuxuu galaa doorashooyinka taraafikada Cloud VPN, dhinaca maxalliga ahna wuxuu u baahan yahay marin soo-noqod si jawaabuhu u ogaadaan halka ay aadaan. Taasi waxay ilaalisaa aqoonsiga pod-ka oo qaar ka mid ah moodooyinka amniga ay rabaan, waxayna ballaadhisaa baaxadda marin-u-jiidka iyo tan firewall-ka ee dhinaca kale waa inuu aqbalo.

Ganacsiga waa akhris-ku-habboon iyo baaxad. Turjumaaddu waxay dhinaca maxalliga ah ka dhigtaa inuu arko hal ciwaan noodh kasta, taas oo sahlan in lagu daro liiska fasaxa oo qarinaysa pod-ka kee wax diray. Turjumaad la'aan, ciwaanka pod-ka wuu sii socdaa min dhammaad ilaa dhammaad, taas oo ka wanaagsan loo-jiididda oo ka xun qalab kasta oo ku jira marinka ee u baahan inuu barto baaxad cusub. Midna ikhtiyaarka ah ma aha cillad Docker ama CNI; labaduba waa go'aanno marin leh biil hawleed. Dooro tan ay kooxdaadu bixin karto biilkeeda, oo qor sababta.

Xaqiiji oo dib u celi

Mar kale socodsii isla qabashadaas. Qabasho heer noodh ah oo weli daabacda ciwaanka pod-ka ka dib tafatirkaaga waxay ka dhigan tahay in xeerarku waligood isbeddelin, wax kasta oo ConfigMap sheegto. Siliggu waa xaqiiqada; wax kale oo dhan waa qiyaas.

Kadib hubi jihada lidka ku ah, waayo kala bar isbeddelladan waxaa lagu xaqiijiyaa oo kaliya dhinaca baxa. Xaqiiji in jawaabtu gaarto noodhka ama pod-ka diray codsiga, oo xaqiiji in barnaamijku dhammeeyay halkii uu kaliya SYN heli lahaa. Qabasho muujinaysa codsi jawaab la'aan waa dhibaato marin oo dhinaca kale ah, ma aha dhibaato masquerade oo dhinacan ah.

Dib u celintu waa ConfigMap-kii hore, si isku mid ah loo codsaday, isla xaqiijintaas in wakiilku dib u bilaabmay oo xeerarku isbeddeleen. Diiwaanka isbeddelka ku hay ciwaanka isha ee codsi la yaqaan hal mar ka hor iyo ka dib, waayo sadarkaas kaliya ayaa caddeeya in isbeddelku sameeyay waxaad sheegtay. Hagaha wakiilka IP masquerade ee GKE waxa uu diiwaangeliyaa caadooyinka iyo goobaha ConfigMap. Haddii ciwaanka ishu aanu isbeddelin ka dib fidinta, wakiilku kama shaqeynayo noodhkaas oo wax tafatir YAML ah ma hagaajin doono.