Pod, nodi au klasteri: sidecar ya VPN inaelekeza upya nini hasa

Sidecar ya VPN ndani ya Pod ya Kubernetes inaonekana kama VPN ya ngazi ya mwenyeji yenye tabia bora, na mfanano unaisha kwenye ukingo wa nafasi ya majina. Kontena katika Pod moja hushiriki nafasi ya majina ya mtandao, ikiwa ni pamoja na nafasi ya anwani na bandari, kwa hiyo sidecar inayoweka njia na sera hubadilisha kwa kweli pakiti za programu zinaenda wapi. Haibadilishi chochote kwa Pod nyingine kwenye nodi, na haigusi staki ya nodi yenyewe isipokuwa uiweke hivyo. Kuelewa ukingo huo kwa usahihi huamua unachoweza kupeleka na unachopaswa kujaribu. Sehemu zifuatazo zinaifuata kutoka kwenye nafasi ya majina kuelekea nje.

Nafasi ya majina iliyoshirikiwa, matokeo yaliyoshirikiwa

Kontena mbili katika Pod huzungumza kupitia loopback na kuona violesura sawa, na ndiyo sababu muundo wa sidecar unafanya kazi kabisa: programu haihitaji kujua kwamba handaki lipo, kwa sababu njia inayoisuluhisha iliwekwa katika nafasi ya majina inayotumia. Sifa hiyo hiyo inamaanisha makosa ya sidecar ni makosa ya programu. Njia inayonasa mengi mno, au mabadiliko ya DNS yanayoelekeza kwenye kisuluhishi ndani ya handaki, hutumika mara moja kwa kila mchakato katika Pod hiyo. Katika nafasi ya majina iliyoshirikiwa hakuna uelekezaji kwa kila kontena, kwa hiyo sidecar haiwezi kuwekewa mipaka ya mchakato mmoja.

Huu ni utaratibu wa kukumbuka wakati wa mapitio: eneo la athari ni Pod, si nodi na si klasteri.

Mahali sidecar haifikii

Pod nyingine huhifadhi nafasi zao za majina na uelekezaji wao, kwa hiyo mzigo wa kazi unaohitaji tokeo sawa unahitaji sidecar sawa au, badala yake, muundo wa ngazi ya nodi. Trafiki ya nodi pia iko nje ya nafasi ya majina ya Pod, na Pod zenye mtandao wa mwenyeji huchagua kwa makusudi kuachana kabisa na utengano huu. Ukiendesha sidecar kwa mtandao wa mwenyeji ili kufikia kitu rahisi, umepanua wigo kutoka Pod moja hadi nodi nzima na unapaswa kusema hivyo kwa sauti.

Trafiki kwa huduma za klasteri ni mshangao mwingine wa kawaida. Njia pana ya chaguo-msingi ndani ya Pod inaweza kunasa maombi yaliyokusudiwa kwa seva ya API au huduma ya ClusterIP, ambayo kisha hushindwa kwa namna inayoonekana kama handaki limevunjika.

Mpango wa njia: safu za Pod, huduma, nodi na VPN

Andika safu nne na uzikague kwa mwingiliano kabla ya kupeleka chochote: CIDR ya Pod, CIDR ya huduma, anwani za nodi na maeneo ya mwisho nyuma ya VPN. Mwingiliano kati ya safu za kibinafsi za VPN na nafasi ya klasteri yenyewe si nadra, na njia ya chaguo-msingi ni suluhisho lisilofaa kwa hilo. Mpango wa njia unapaswa kuwa katika hazina moja na manifest, kwa sababu klasteri inayofuata inaweza kutoa safu tofauti kabisa za Pod na huduma.

DNS ni sehemu ya mpango na si wasiwasi tofauti. Kisuluhishi kinachoandika upya usanidi cha sidecar kinaweza kuvunja ugunduzi wa huduma ndani ya klasteri wakati utafutaji wa nje unafanya kazi kikamilifu.

Kuanza na kushindwa ni hali zilizo wazi

Mchakato wa sidecar unaoendesha si sera ya tokeo. Amua trafiki gani inaweza kutiririka kabla handaki haliko tayari na nini kinatokea ikiwa kitakufa baadaye, kisha tekeleza uamuzi huo: probe inayozuia kontena la programu, sera ya mtandao inayokataa kwa chaguo-msingi, au zote mbili. Bila moja ya hizo, programu huanza, hutatua na kutuma trafiki nje ya njia ya kawaida ya nodi wakati handaki bado linajiunga.

Pengo hilo ni fupi katika klasteri yenye afya na la kudumu katika lililovunjika, na hiyo ndiyo sifa ambayo mshambuliaji au uvujaji wa data wa bahati mbaya hupendelea.

Oanisha mpangilio na jaribio la kushindwa. Ua sidecar na uthibitishe kwamba programu inapoteza tokeo lake lililokusudiwa badala ya kurudi nyuma kimya.

Uwezo, sera na upimaji kutoka kontena la programu

Kutoa uwezo unaohitajika kuunda violesura na kubadilisha njia ni uamuzi wa haki, na haki inayofaa Pod iliyotengwa si lazima ifae kwenye staki ya nodi. Tumia taratibu za sera za mtandao na usalama zinazoungwa mkono na klasteri, na usifikirie kwamba kila utekelezaji wa CNI au sera hushughulikia violesura vya VPN vivyo hivyo; tofauti huonekana hasa katika hali za kushindwa unazojali.

Jaribu kutoka kontena halisi la programu, kwa maombi mapya kuelekea lengo la kibinafsi, huduma ya klasteri na intaneti ya umma. Jaribio kutoka kwa sidecar huthibitisha kwamba handaki linafanya kazi, si kwamba programu inafikia inachohitaji.

Andika nyaraka za mawazo ya mtandao ya klasteri kando ya usanidi wa VPN. Kuhamisha mzigo wa kazi kwenda klasteri nyingine basi ni zoezi la kukagua mpango wa njia badala ya mabadiliko ya picha yanayoacha kufanya kazi kimya.