Pod IP, ClusterIP ose balancues i brendshëm për përdoruesit e VPN
Një Pod IP është i rutueshëm përmes VPN derisa Pod-i zëvendësohet. Krahasoni aksesin direkt në Pod, ClusterIP dhe një balancues të brendshëm, dhe sa ju kushton secili.
Me VPC CNI, një Pod mund të mbajë një adresë nga VPC, dhe një përdorues VPN me rrugën e duhur mund ta arrijë drejtpërdrejt. Kjo e bën aksesin direkt në Pod të duket si opsioni më i thjeshtë, dhe është, derisa Pod-i zëvendësohet. Adresa që mban mend një përdorues duhet t’i përkasë aplikacionit, jo një replike. Krahasimi i tre hyrjeve reduktohet në atë se cili objekt zotëron adresën dhe çfarë duhet të vazhdojë të funksionojë kur ngarkesa lëviz.
Zgjidhni fillimisht sipas ciklit të jetës, pastaj sipas asaj që rjeti duhet të bëjë për ta bërë hyrjen të arritshme.
Tre hyrje, tre cikle jete
Një Pod IP zotërohet nga një Pod: alokohet me të dhe lirohet kur ai përfundon. Një ClusterIP zotërohet nga një Service dhe është virtual, ka kuptim vetëm aty ku ekziston rrugëtimi i shërbimeve të klasterit. Një balancues i brendshëm zotërohet nga një burim cloud që kontrolluesi i klasterit e programon me backend-e. Këto modele pronësie parashikojnë dështimin që do të merrni: një adresë e vjetruar, një emër i paarritshëm ose një grup backend-esh i vjetruar.
Shkruajeni krahasimin përpara se të zgjidhni. Pasi pronari dhe dështimi emërtohen, zgjedhja zakonisht bëhet vetë.
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Akses direkt në Pod: i dobishëm, i përkohshëm
Aksesi direkt është vërtet i dobishëm për një kontroll të kontrolluar: një administrator, një sesion i shkurtër, një port specifik. Por është një kontratë e dobët për përdoruesit, sepse adresa është një detaj implementimi që ndryshon në çdo vendosje. Dhe regjistrimi i një të tillë në një wiki është mënyra se si një shërbim që funksionon kthehet në një thashethem.
Ai gjithashtu fton rregulla të gjera. Leja për një administrator për të arritur një Pod nuk është leje për çdo adresë në nënrrjetin e nyjes, dhe zakonisht shkruhet e dyta.
ClusterIP: i kufizuar në klaster sipas dizenjimit
Një ClusterIP funksionon sepse dataplane i klasterit programon rrugëtimin për të brenda klasterit. Nga një laptop në VPN adresa nuk do të thotë asgjë nëse diçka nuk e ekspozon me qellim. Një emër që përfundon me svc.cluster.local i përket DNS-it të klasterit, kështu që kopjimi i tij në një klient me një zgjidhës tjetër prodhon një emër që nuk ekziston në vend të një gabimi rrugëtimi.
ClusterIP mbetet hyrja e duhur për thirrësit brenda klasterit, përfshirë ngarkesa të tjera. Thjesht nuk është një mekanizëm publikimi për përdoruesit jashtë domenit të rrugëtimit të klasterit.
Balancues i brendshëm: rruga e publikuar
Një balancues i brendshëm ju jep një adresë private të qëndrueshme dhe një emër drejt të cilit zona juaj mund të tregojë, ndërsa kontrolluesi e mban grupin e backend-eve të përditësuar, siç përshkruan udhëzuesi i EKS për balancimin e ngarkesës. Kjo është hyrja që i mbijeton një zëvendësimi të zakonshëm të Pod pa redaktuar askush një dokument. Kjo kushton një burim cloud, një konfigurim kontrolluesi dhe një rrugë nga VPN, dhe pikërisht këto pjesë njerëzit i nënvlerësojnë.
Përdorni modelin e kontrolluesit që klasteri ekzekuton në të vërtetë. Shënimet e shkruara për një integrim nuk zbatohen për një tjetër.
Kush është adresa burimore
Grupet e sigurisë shohin burimin që arrin në kufirin e tyre, dhe ai mund të jetë klienti i lidhur ose një adresë e përkthyer në varësi të rrugës së VPN dhe balancimit të ngarkesës. Në nyjet e bazuara në EC2, Pod-et e zakonshme VPC CNI trashëgojnë si parazgjedhje grupet ENI të nyjes, ndërsa konfigurimet e mbështetura mund të bashkëngjisin grupe specifike për Pod. Shkruani rregulla për rrugën e dokumentuar, jo për një adresë laptopi të supozuar.
Mbajini dëgjuesin dhe vërtetimin e aplikacionit si kontrolle të veçanta. Një rregull rjeti që lejon rrjedhën nuk është një vendim autorizimi dhe nuk duhet trajtuar si i tillë.
Çfarë t’u jepni përdoruesve
Jepini përdoruesve një emër shërbimi, jo një adresë. Publikojeni emrin në zonën private, drejtojeni te hyrja e brendshme, dhe më pas provojeni duke zëvendësuar një Pod backend ndërsa një klient mban të njëjtin emër të hapur. Ky ushtrim teston vetinë që ka rëndësi: arritjen e të njëjtit aplikacion pas një vendosjeje rutinë.
Mbajeni aksesin direkt në Pod si një përjashtim operacional të dokumentuar me shtrirjen e vet, larg udhëzimeve për përdoruesit.