1.14 க்குப் பிறகு GKE பாட்கள் VPN அணுகலை இழந்தன: மூலத்தைச் சரிசெய்ய இரண்டு வழிகள்

1.14 க்குப் பிறகு பாட்கள் தங்கள் சொந்த முகவரிகளுடன் VPN ஐ அடைகின்றன, எனவே சகர்கள் பதில்களை நீக்குகின்றன. மூல ஒப்பந்தத்தைத் தேர்ந்தெடுத்து, பின்னர் nonMasqueradeCIDRs ஐ அதற்கேற்ப அமைக்கவும்.

ஒரு மேம்படுத்தல் வருகிறது, சுரங்கப்பாதையின் மறுபக்கத்தில் உள்ள அமைப்புகள் கடந்த வாரம் வேலை செய்த பாட் போக்குவரத்தை நிராகரிக்கத் தொடங்குகின்றன. சுரங்கப்பாதை இயங்குகிறது, ஃபயர்வால் விதிகள் தொடப்படவில்லை, யாரும் சகர் கொள்கையைத் திருத்தவில்லை. மாறியது கிளஸ்டர் பதிவுகளில் தெரியவில்லை: அந்த அமைப்புகள் இப்போது காணும் மூல முகவரி. இந்த இடைவெளி பிணைய முறிவு போலத் தோன்றி அனுமதிச் சிக்கல் போல நடந்துகொள்ளும் தோல்வியை விளக்குகிறது.

இரண்டு செல்லுபடியாகும் பதில்கள் உள்ளன, அவை உங்களை வெவ்வேறு இடங்களுக்கு அழைத்துச் செல்கின்றன. ConfigMap ஐத் திருத்தும் முன் மூல ஒப்பந்தத்தைத் தேர்ந்தெடுக்கவும்.

நிறுவப்படுவதை நிறுத்திய இயல்புநிலை விதி

முந்தைய GKE வெளியீடுகள் masquerade விதியை நிறுவின, அது இலக்கு 10.0.0.0/8 க்கு வெளியே இருக்கும்போது பாட் மூலங்களை நோட் முகவரியால் மாற்றியது. அந்த வரம்பிற்குள் உள்ள VPN நுழைவாயில் பாட் முகவரியைப் பார்த்தது, அதற்கு அப்பால் உள்ளவை நோட்டிலிருந்து வந்ததைப் போலத் தோன்றியது. சகர்கள் நோட் முகவரிகளைச் சுற்றி அனுமதிப் பட்டியல்களையும் திரும்பும் வழிகளையும் கட்டினார்கள், ஏனெனில் அவர்கள் கண்டது அதுவே.

பிந்தைய வெளியீடுகள் அந்த இயல்புநிலை விதியை நிறுவுவதை நிறுத்தின. பாட் போக்குவரத்து இப்போது இலக்கு எதுவாக இருந்தாலும் பாட் முகவரிகளுடன் நுழைவாயிலை அடைகிறது. நோட் முகவரிகளை மட்டும் வழிநடத்தும் சகர் பதில்களை நீக்குகிறார், எந்தப் பக்கமும் பயனுள்ள பதிவை எழுதுவதில்லை. கோரிக்கை தொலை முனையில் வெற்றியும் பெறலாம், அதுவே இந்தத் தோல்வியைத் துரத்துவதைக் குழப்பமாக்குகிறது.

இறந்த கூறு என்ற அர்த்தத்தில் எதுவும் உடைந்துவிடவில்லை. இரு பக்கமும் எந்த மூலம் சட்டபூர்வமானது என்பதில் உடன்படவில்லை.

சகர் பார்க்க வேண்டிய மூலத்தைத் தேர்ந்தெடுக்கவும்

பாட் முகவரிகளை வைத்திருப்பது மிகத் துல்லியமான ஒப்பந்தம். தொலைப் பக்கம் போக்குவரத்தை உருவாக்கிய பணிச்சுமையைப் பார்க்கிறது, பதிவுகள் நேர்மையாக இருக்கின்றன, ஒவ்வொரு பாட்டுக்கும் கொள்கை சாத்தியமாகிறது. விலை என்னவென்றால் சகர் பாட் முன்னொட்டைச் சுமக்க வேண்டும்.

நோட் முகவரிகளை வைத்திருப்பது மலிவான ஒப்பந்தம். அந்த இலக்கிற்கு masquerade ஐ மீண்டும் இயக்கவும், சகர் ஏற்கனவே நம்பும் முகவரியைத் தொடர்ந்து காண்பார்.

ஒரு கேள்வி அவற்றுக்கிடையே தீர்மானிக்கிறது: சகர் மூலத்துடன் என்ன செய்கிறார்? அவர் பதிவு செய்தால், மூலத்திற்கு ஏற்பக் கொள்கையைப் பயன்படுத்தினால் அல்லது குறுகிய திரும்பும் வழிநடத்தலை வலியுறுத்தினால், பாட் முகவரிகள் கூடுதல் உள்ளமைவை நியாயப்படுத்துகின்றன. பதில்களை அனுப்ப மட்டுமே வேண்டுமானால், masquerade குறைவாகச் செலவாகும், மறுபக்கத்திடம் எதையும் கேட்காது. இரு குழுக்களும் எழுதி வைத்தால் எந்தத் தேர்வும் பாதுகாக்கக்கூடியது.

மூன்றாவது விருப்பம் பொதுவாகத் தவறு: எல்லாவற்றையும் masquerade செய்து போக்குவரத்தைக் காரணம் கூறும் திறனை இழப்பது. சகர் உண்மையிலேயே நோட் முகவரிகள் தவிர வேறு எதையும் வழிநடத்த முடியாவிட்டால் தவிர்க்கவும்.

nonMasqueradeCIDRs ஐ உண்மையான வரம்புகளை நோக்கி செலுத்தவும்

GKE kube-system இல் ip-masq-agent ஐ இயக்குகிறது, அதன் ConfigMap masquerade ஐத் தவிர்க்கும் இலக்குகளைப் பட்டியலிடுகிறது. சுரங்கப்பாதையை நோக்கிப் பாட் மூலங்களைப் பாதுகாக்க பாட் வரம்பு, நோட் துணை வலை மற்றும் உள்ளூர் முன்னொட்டு அனைத்தும் அந்தப் பட்டியலில் அடங்கும்.

மாதிரி மதிப்புகளை உங்கள் சொந்த கிளஸ்டரின் வரம்புகளால் மாற்றவும். தேவைக்கு அதிகமாகப் பட்டியலை அகலப்படுத்த வேண்டாம், ஏனெனில் ஒவ்வொரு கூடுதல் உள்ளீடும் வேறொரு இலக்கு என்ன பார்க்கிறது என்பதை மாற்றுகிறது. கீழேயுள்ள மூன்று உள்ளீடுகள் பாட் வலையம், நோட் துணை வலை மற்றும் சுரங்கப்பாதைக்குப் பின்னால் உள்ள முன்னொட்டைக் குறிக்கின்றன:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

0.0.0.0/0 உள்ளீடு அனைத்து இலக்குகளுக்கும் masquerade ஐ முடக்குகிறது, இது தொடர்பில்லாத பணிச்சுமைகள் வெளிச் சேவைகளுக்கு எப்படித் தோன்றுகின்றன என்பதை மாற்றுகிறது, அரிதாகவே வேண்டுமென்றே செய்யப்படுகிறது. முகவர் resyncInterval இல் தன் உள்ளமைவை மீண்டும் படிக்கிறது, எனவே மறுதொடக்கம் பொதுவாகத் தேவையில்லை. முகவர் பாட் இயங்குகிறதா என்று சரிபார்த்து, பின்னர் அதனுள் பொருத்தப்பட்ட கோப்பைத் திறக்கவும். அந்தக் கோப்பைப் படிப்பதே மாற்றம் வந்து சேர்ந்ததற்கான சான்று.

பதில் பாதை மறுபாதி

masquerade கோரிக்கையின் மூலத்தை மட்டுமே மாற்றுகிறது, வேறு எதையும் அல்ல. சகர் எந்த மூலத்தைப் பெற்றாலும் அதற்குத் திரும்பும் வழி இன்னும் தேவை, கிளஸ்டருக்கும் சகர் நோக்கிய வழி இன்னும் தேவை.

VPN நுழைவாயிலில் பிடிப்பு இரு தோல்விகளையும் விரைவாகப் பிரிக்கிறது. பாட் முகவரிகளுடன் வந்து ஒருபோதும் பதில் பெறாத பொதிகள் என்றால் சகரிடம் பாட் முன்னொட்டுக்கு வழி இல்லை. நுழைவாயிலில் தோன்றி ஒருபோதும் கிளஸ்டரை அடையாத பதில் என்றால் உள்ளூர் வழி இல்லை. எப்படியும் ஒப்பந்தத்தை டிக்கெட்டில் எழுதுங்கள்: சகர் எந்த மூலத்தைப் பார்க்கிறார், எந்த முன்னொட்டுக்குத் திரும்ப வழிநடத்துகிறார்.

ஒவ்வொரு மேம்படுத்தலுக்குப் பிறகும் மீண்டும் சரிபார்க்கவும்

masquerade இன் இயல்புநிலை நடத்தை ஏற்கனவே ஒருமுறை மாறியுள்ளது, நோட் குளத்தை மாற்றுவது கிளஸ்டர் பிணையத்தை மீட்டமைக்கலாம். மூல ஒப்பந்தத்தை ஊகிக்க வேண்டியதாக அல்ல, சரிபார்க்க வேண்டியதாகக் கருதுங்கள்.

மேம்படுத்தலுக்குப் பிறகு ஒரு பாட்டிலிருந்து உள்ளூர் சேவைக்கு ஒரு கோரிக்கையை அனுப்பி, சகர் பதிவு செய்யும் மூலத்தைப் படியுங்கள். அந்த ஒரு கவனிப்பே சுரங்கப்பாதை நிலைப் பக்கம் மகிழ்ச்சியுடன் ஆரோக்கியமானது எனத் தெரிவிக்கும் பின்னடைவைப் பிடிக்கிறது. அதை மீண்டும் செய்ய ஒரு நிமிடம் ஆகும், அடுத்த நபரின் ஒரு மாலை மிச்சமாகும்.

தொடர்புடைய கட்டுரைகள்