Pod za GKE zilipoteza ufikiaji wa VPN baada ya 1.14: njia mbili za kurekebisha chanzo

Sasisho linafika, na mifumo upande wa pili wa handaki huanza kukataa trafiki ya pod iliyokuwa ikifanya kazi wiki iliyopita. Handaki iko juu, sheria za firewall hazijaguswa, na hakuna aliyebadilisha sera ya mwenza. Kilichobadilika hakionekani katika kumbukumbu za kikundi: anwani ya chanzo ambayo mifumo hiyo inaona sasa. Pengo hilo linaeleza hitilafu inayoonekana kama kukatika kwa mtandao na kuishi kama tatizo la ruhusa.

Kuna majibu mawili halali, na yanakupeleka mahali tofauti. Chagua mkataba wa chanzo kabla ya kuhariri ConfigMap.

Sheria chaguo-msingi iliyoacha kusakinishwa

Matoleo ya awali ya GKE yalisakinisha sheria ya masquerade iliyobadilisha vyanzo vya pod na anwani ya node kila mara lengo lilipokuwa nje ya 10.0.0.0/8. Lango la VPN ndani ya wigo huo liliona anwani ya pod, wakati kitu chochote kilicho mbali zaidi kilionekana kana kwamba kinatoka kwa node. Wenzao walijenga orodha za idhini na njia za kurudi kuzunguka anwani za node kwa sababu ndivyo walivyoona.

Matoleo ya baadaye yalacha kusakinisha sheria hiyo chaguo-msingi. Trafiki ya pod sasa hufika lango ikiwa na anwani za pod, lengo liwe lolote. Mwenza anayerusha anwani za node tu huyatupa majibu, na hakuna upande unaoandika kumbukumbu muhimu. Ombi linaweza hata kufanikiwa upande wa mbali, na hiyo ndiyo inayofanya hitilafu kuwa ngumu kufuatilia.

Hakuna kilichovunjika kwa maana ya kipengele kilichokufa. Pande mbili hazikubaliani tu ni chanzo kipi halali.

Chagua chanzo ambacho mwenza anapaswa kuona

Kubaki na anwani za pod ni mkataba sahihi zaidi. Upande wa mbali unaona mzigo wa kazi uliozalisha trafiki, kumbukumbu zinabaki za kweli, na sera kwa kila pod inawezekana. Gharama ni kwamba mwenza lazima abebe kiambishi cha pod.

Kubaki na anwani za node ni mkataba wa bei nafuu. Washa tena masquerade kwa lengo hilo na mwenza ataendelea kuona anwani anayoiamini tayari.

Swali moja huamua kati yao: mwenza hufanya nini na chanzo? Ikiwa anaandika kumbukumbu, anatumia sera kwa kila chanzo au analazimisha uelekezaji mwembamba wa kurudi, anwani za pod zinahalalisha usanidi wa ziada. Ikiwa anahitaji tu kutuma majibu, masquerade hugharimu kidogo na haudai chochote kutoka upande mwingine. Chaguo lolote linaweza kuteteleka mradi timu zote mbili ziliandike.

Chaguo la tatu kwa kawaida ni kosa: masquerade kila kitu na kupoteza uwezo wa kuhusisha trafiki. Epuka isipokuwa mwenza hawezi kabisa kuelekeza kitu kingine chochote isipokuwa anwani za node.

Elekeza nonMasqueradeCIDRs kwenye safu halisi

GKE huendesha ip-masq-agent katika kube-system, na ConfigMap yake huorodhesha maeneo yanayoruka masquerade. Ili kuhifadhi vyanzo vya pod kuelekea handaki, safu ya pod, subneti ya node na kiambishi cha ndani vyote viko kwenye orodha hiyo.

Badilisha thamani za mfano na safu kutoka kikundi chako mwenyewe. Usifanye orodha pana kuliko mahitaji yanavyotaka, kwa sababu kila kiingilio cha ziada hubadilisha kile lengo lingine linaona. Viingilio vitatu hapa chini vinawakilisha mtandao wa pod, subneti ya node na kiambishi nyuma ya handaki:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

Kiingilio cha 0.0.0.0/0 huzima masquerade kwa maeneo yote, ambayo hubadilisha jinsi mizigo ya kazi isiyohusiana inavyoonekana kwa huduma za nje na mara chache hukusudiwa. Wakala husoma tena usanidi wake kwenye resyncInterval, kwa hiyo kuanzisha upya kwa kawaida hakuhitajiki. Angalia kama pod ya wakala inaendesha, kisha fungua faili iliyopachikwa ndani yake. Kusoma faili hilo ndiko kunathibitisha kwamba mabadiliko yamefika.

Njia ya majibu ni nusu nyingine

Masquerade hubadilisha chanzo cha ombi na hakuna kingine. Chanzo chochote ambacho mwenza hupokea, bado anahitaji njia ya kurudi kwacho, na kikundi bado kinahitaji njia kuelekea mwenza.

Kukamata kwenye lango la VPN hutenganisha hitilafu hizo mbili haraka. Pakiti zinazofika na anwani za pod na kamwe hazipati jibu zinamaanisha mwenza hana njia ya kiambishi cha pod. Jibu linaloonekana kwenye lango lakini kamwe halifiki kikundini linamaanisha njia ya ndani haipo. Kwa vyovyote vile andika mkataba kwenye tiketi: chanzo kipi mwenza anaona, na kiambishi kipi anaelekeza jibu.

Angalia tena baada ya kila sasisho

Tabia chaguo-msingi ya masquerade imebadilika mara moja tayari, na kubadilisha kundi la node kunaweza kuweka upya mtandao wa kikundi. Chukulia mkataba wa chanzo kama kitu cha kuthibitisha, si cha kudhani.

Baada ya sasisho, tuma ombi moja kutoka pod kwenda huduma ya ndani na usome chanzo ambacho mwenza anaandika. Uangalizi huo mmoja hukamata regression ambayo ukurasa wa hali ya handaki utaripoti kwa furaha kama mzima. Kuirudia huchukua dakika moja na huokoa mtu anayefuata jioni.