1.14 తర్వాత GKE పాడ్లు VPN ప్రాప్తిని కోల్పోయాయి: మూలాన్ని సరిచేయడానికి రెండు మార్గాలు

1.14 తర్వాత పాడ్లు తమ స్వంత చిరునామాలతో VPN ను చేరుకుంటాయి, కాబట్టి పీర్లు ప్రతిస్పందనలను విస్మరిస్తాయి. మూల ఒప్పందాన్ని ఎంచుకోండి, తర్వాత nonMasqueradeCIDRs ను దానికి సరిపోయేలా సెట్ చేయండి.

ఒక అప్గ్రేడ్ వస్తుంది, మరియు సొరంగం ఆవలి వైపున ఉన్న వ్యవస్థలు గత వారం పనిచేసిన పాడ్ ట్రాఫిక్ను తిరస్కరించడం ప్రారంభిస్తాయి. సొరంగం పనిచేస్తోంది, ఫైర్వాల్ నియమాలు తాకబడలేదు, ఎవరూ పీర్ విధానాన్ని మార్చలేదు. మారినది క్లస్టర్ లాగ్లలో కనిపించదు: ఆ వ్యవస్థలు ఇప్పుడు చూస్తున్న మూల చిరునామా. ఈ అంతరం నెట్వర్క్ అంతరాయంలా కనిపించి అనుమతి సమస్యలా ప్రవర్తించే వైఫల్యాన్ని వివరిస్తుంది.

రెండు చెల్లుబాటు సమాధానాలు ఉన్నాయి, అవి మిమ్మల్ని వేర్వేరు ప్రదేశాలకు తీసుకెళ్తాయి. ConfigMap ను సవరించే ముందు మూల ఒప్పందాన్ని ఎంచుకోండి.

ఇన్స్టాల్ చేయడం ఆగిపోయిన డిఫాల్ట్ నియమం

పాత GKE విడుదలలు masquerade నియమాన్ని ఇన్స్టాల్ చేసేవి, అది గమ్యం 10.0.0.0/8 వెలుపల ఉన్నప్పుడు పాడ్ మూలాలను నోడ్ చిరునామాతో భర్తీ చేసేది. ఆ పరిధిలోని VPN గేట్వే పాడ్ చిరునామాను చూసేది, దానికి దూరంగా ఉన్నవి నోడ్ నుండి వచ్చినట్టు కనిపించేవి. పీర్లు నోడ్ చిరునామాల చుట్టూ అనుమతి జాబితాలు మరియు తిరిగి వెళ్లే మార్గాలను నిర్మించారు, ఎందుకంటే వారు గమనించింది అదే.

తర్వాతి విడుదలలు ఆ డిఫాల్ట్ నియమాన్ని ఇన్స్టాల్ చేయడం ఆపేశాయి. పాడ్ ట్రాఫిక్ ఇప్పుడు గమ్యం ఏదైనా పాడ్ చిరునామాలతో గేట్వేను చేరుకుంటుంది. నోడ్ చిరునామాలను మాత్రమే మార్గనిర్దేశం చేసే పీర్ ప్రతిస్పందనలను విస్మరిస్తారు, ఏ వైపూ ఉపయోగకరమైన లాగ్ నమోదు రాయదు. అభ్యర్థన దూరపు చివరలో విజయవంతం కూడా కావచ్చు, అదే ఈ వైఫల్యాన్ని వెంబడించడం గందరగోళంగా చేస్తుంది.

చనిపోయిన భాగం అనే అర్థంలో ఏదీ విరగలేదు. రెండు వైపులూ ఏ మూలం చట్టబద్ధమో అని ఏకీభవించడం లేదు.

పీర్ చూడవలసిన మూలాన్ని ఎంచుకోండి

పాడ్ చిరునామాలను ఉంచుకోవడం మరింత ఖచ్చితమైన ఒప్పందం. దూరపు వైపు ట్రాఫిక్ను సృష్టించిన పనిభారాన్ని చూస్తుంది, లాగ్లు నిజాయితీగా ఉంటాయి, ప్రతి పాడ్కు విధానం సాధ్యమవుతుంది. ధర ఏమిటంటే పీర్ పాడ్ ఉపసర్గను మోయాలి.

నోడ్ చిరునామాలను ఉంచుకోవడం చౌక ఒప్పందం. ఆ గమ్యానికి masquerade ను మళ్లీ ఆన్ చేయండి, పీర్ ఇప్పటికే నమ్ముతున్న చిరునామాను చూస్తూనే ఉంటుంది.

ఒక ప్రశ్న వాటి మధ్య నిర్ణయిస్తుంది: పీర్ మూలంతో ఏమి చేస్తుంది? అది లాగ్ చేస్తే, మూలానికి అనుగుణంగా విధానం వర్తింపజేస్తే లేదా ఇరుకైన తిరిగి మార్గనిర్దేశనాన్ని అమలు చేస్తే, పాడ్ చిరునామాలు అదనపు కాన్ఫిగరేషన్ను సమర్థిస్తాయి. ప్రతిస్పందనలు పంపడం మాత్రమే అవసరమైతే, masquerade తక్కువ ఖర్చవుతుంది మరియు రెండో వైపు నుండి ఏమీ అడగదు. రెండు బృందాలు రాసి ఉంచితే ఏ ఎంపికైనా సమర్థనీయం.

మూడో ఎంపిక సాధారణంగా పొరపాటు: అన్నింటినీ masquerade చేసి ట్రాఫిక్ను ఆపాదించే సామర్థ్యాన్ని కోల్పోవడం. పీర్ నిజంగా నోడ్ చిరునామాలు తప్ప మరేదీ మార్గనిర్దేశం చేయలేకపోతే తప్ప దాన్ని నివారించండి.

nonMasqueradeCIDRs ను నిజమైన పరిధుల వైపు మళ్లించండి

GKE kube-system లో ip-masq-agent ను నడుపుతుంది, దాని ConfigMap masquerade ను దాటవేసే గమ్యాలను జాబితా చేస్తుంది. సొరంగం వైపు పాడ్ మూలాలను కాపాడడానికి పాడ్ పరిధి, నోడ్ సబ్నెట్ మరియు స్థానిక ఉపసర్గ అన్నీ ఆ జాబితాలో ఉంటాయి.

నమూనా విలువలను మీ స్వంత క్లస్టర్ పరిధులతో భర్తీ చేయండి. అవసరానికి మించి జాబితాను విస్తరించవద్దు, ఎందుకంటే ప్రతి అదనపు నమోదు మరో గమ్యం ఏమి చూస్తుందో మారుస్తుంది. క్రింది మూడు నమోదులు పాడ్ నెట్వర్క్, నోడ్ సబ్నెట్ మరియు సొరంగం వెనుక ఉన్న ఉపసర్గను సూచిస్తాయి:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

0.0.0.0/0 నమోదు అన్ని గమ్యాలకు masquerade ను నిలిపివేస్తుంది, ఇది సంబంధం లేని పనిభారాలు బాహ్య సేవలకు ఎలా కనిపిస్తాయో మారుస్తుంది మరియు అరుదుగా ఉద్దేశపూర్వకంగా ఉంటుంది. ఏజెంట్ resyncInterval లో తన కాన్ఫిగరేషన్ను మళ్లీ చదువుతుంది, కాబట్టి పునఃప్రారంభం సాధారణంగా అవసరం లేదు. ఏజెంట్ పాడ్ నడుస్తుందో లేదో తనిఖీ చేసి, తర్వాత దాని లోపల మౌంట్ చేసిన ఫైల్ను తెరవండి. ఆ ఫైల్ను చదవడమే మార్పు చేరిందని నిరూపిస్తుంది.

ప్రతిస్పందన మార్గం మరో సగం

masquerade అభ్యర్థన మూలాన్ని మాత్రమే మారుస్తుంది, మరేదీ కాదు. పీర్ ఏ మూలాన్ని పొందినా దానికి తిరిగి వెళ్లే మార్గం ఇంకా అవసరం, క్లస్టర్కు పీర్ వైపు మార్గం కూడా ఇంకా అవసరం.

VPN గేట్వేపై క్యాప్చర్ రెండు వైఫల్యాలను త్వరగా వేరు చేస్తుంది. పాడ్ చిరునామాలతో వచ్చి ఎప్పుడూ ప్రతిస్పందన పొందని ప్యాకెట్లు అంటే పీర్కు పాడ్ ఉపసర్గకు మార్గం లేదు. గేట్వేపై కనిపించి క్లస్టర్ను ఎప్పుడూ చేరని ప్రతిస్పందన అంటే స్థానిక మార్గం లేదు. ఏ సందర్భంలోనైనా ఒప్పందాన్ని టికెట్లో రాయండి: పీర్ ఏ మూలాన్ని చూస్తుంది, ఏ ఉపసర్గకు తిరిగి మార్గనిర్దేశం చేస్తుంది.

ప్రతి అప్గ్రేడ్ తర్వాత మళ్లీ తనిఖీ చేయండి

masquerade యొక్క డిఫాల్ట్ ప్రవర్తన ఇప్పటికే ఒకసారి మారింది, నోడ్ పూల్ భర్తీ క్లస్టర్ నెట్వర్కింగ్ను రీసెట్ చేయవచ్చు. మూల ఒప్పందాన్ని ఊహించే విషయంగా కాకుండా ధృవీకరించే విషయంగా పరిగణించండి.

అప్గ్రేడ్ తర్వాత ఒక పాడ్ నుండి స్థానిక సేవకు ఒక అభ్యర్థన పంపి, పీర్ లాగ్ చేసే మూలాన్ని చదవండి. ఆ ఒకే పరిశీలన సొరంగ స్థితి పేజీ సంతోషంగా ఆరోగ్యకరమని నివేదించే రిగ్రెషన్ను పట్టుకుంటుంది. దాన్ని పునరావృతం చేయడానికి ఒక నిమిషం పడుతుంది, తర్వాతి వ్యక్తి ఒక సాయంత్రం ఆదా అవుతుంది.

సంబంధిత వ్యాసాలు