VPN kullanıcıları için Pod IP, ClusterIP veya dahili yük dengeleyici

VPC CNI ile bir Pod, VPC'den bir adres taşıyabilir ve doğru rotaya sahip bir VPN kullanıcısı ona doğrudan erişebilir. Bu, doğrudan Pod erişimini en basit seçenek gibi gösterir ve Pod değiştirilene kadar gerçekten öyledir. Bir kullanıcının hatırladığı adres, bir replikaya değil uygulamaya ait olmalıdır. Üç girişin karşılaştırması, adresi hangi nesnenin sahiplendiğine ve iş yükü taşındığında neyin çalışmaya devam etmesi gerektiğine indirgenir.

Önce yaşam döngüsüne göre seçin, sonra girişi erişilebilir kılmak için ağın ne yapması gerektiğine göre.

Üç giriş, üç yaşam döngüsü

Pod IP bir Pod'a aittir: onunla birlikte tahsis edilir ve sona erdiğinde serbest bırakılır. ClusterIP bir Service'e aittir ve sanaldır, yalnızca kümenin hizmet yönlendirmesinin bulunduğu yerde anlam kazanır. Dahili yük dengeleyici, kümenin denetleyicisinin arka uçlarla programladığı bir bulut kaynağına aittir. Bu sahiplik modelleri, alacağınız arızayı önceden söyler: eski bir adres, erişilemeyen bir ad veya güncel olmayan bir arka uç kümesi.

Seçmeden önce karşılaştırmayı yazın. Sahibi ve arıza adlandırıldığında seçim genellikle kendiliğinden yapılır.

Doğrudan Pod erişimi: yararlı, geçici

Doğrudan erişim, denetimli bir kontrol için gerçekten yararlıdır: bir yönetici, kısa bir oturum, belirli bir bağlantı noktası. Ancak kullanıcılar için kötü bir sözleşmedir, çünkü adres her dağıtımda değişen bir uygulama ayrıntısıdır. Ve birini bir wiki'ye kaydetmek, çalışan bir hizmetin söylentiye dönüşme yoludur.

Geniş kuralları da davet eder. Bir yöneticinin bir Pod'a erişmesi için verilen izin, düğümün alt ağındaki her adres için izin değildir ve genellikle yazılan ikincisidir.

ClusterIP: tasarım gereği kümeye sınırlı

ClusterIP çalışır çünkü kümenin veri düzlemi onun için yönlendirmeyi kümenin içinde programlar. VPN'deki bir dizüstü bilgisayardan adres, bir şey onu kasıtlı olarak açığa çıkarmadıkça hiçbir anlam ifade etmez. svc.cluster.local ile biten bir ad kümenin DNS'ine aittir, bu yüzden onu başka bir çözümleyiciye sahip bir istemciye kopyalamak, yönlendirme hatası yerine var olmayan bir ad üretir.

ClusterIP, küme içindeki çağıranlar için, diğer iş yükleri dahil, doğru giriş olmaya devam eder. Yalnızca kümenin yönlendirme etki alanı dışındaki kullanıcılar için bir yayımlama mekanizması değildir.

Dahili yük dengeleyici: yayımlanan yol

Dahili bir yük dengeleyici size kararlı bir özel adres ve kendi bölgenizin işaret edebileceği bir ad verir; denetleyici arka uç kümesini güncel tutar, EKS yük dengeleme kılavuzunun açıkladığı gibi. Kimse bir belgeyi düzenlemeden sıradan bir Pod değişimini atlatan giriş budur. Maliyeti bir bulut kaynağı, bir denetleyici yapılandırması ve VPN'den bir rotadır ve insanların hafife aldığı kısımlar tam da bunlardır.

Kümenin gerçekten çalıştırdığı denetleyici modelini kullanın. Bir entegrasyon için yazılan açıklamalar diğerine uygulanmaz.

Kaynak adres kimdir

Güvenlik grupları sınırlarına gelen kaynağı görür ve bu, VPN ile yük dengeleme yoluna bağlı olarak bağlı istemci ya da çevrilmiş bir adres olabilir. EC2 tabanlı düğümlerde sıradan VPC CNI Pod'ları varsayılan olarak düğümün ENI gruplarını devralır, desteklenen yapılandırmalar ise Pod'a özgü gruplar ekleyebilir. Kuralları tahmin edilen bir dizüstü adresi için değil, belgelenmiş yol için yazın.

Uygulamanın kendi dinleyicisini ve kimlik doğrulamasını ayrı kontroller olarak tutun. Akışa izin veren bir ağ kuralı bir yetkilendirme kararı değildir ve öyle görülmemelidir.

Kullanıcılara ne verilmeli

Kullanıcılara adres değil hizmet adı verin. Adı özel bölgede yayımlayın, dahili girişe yönlendirin ve ardından bir istemci aynı adı açık tutarken bir arka uç Pod'unu değiştirerek test edin. Bu alıştırma önemli olan özelliği sınar: rutin bir dağıtımdan sonra aynı uygulamaya ulaşmak.

Doğrudan Pod erişimini kendi kapsamı olan belgelenmiş bir operasyonel istisna olarak, kullanıcı talimatlarından uzak tutun.