1.14 کے بعد GKE پوڈز نے VPN رسائی کھو دی: ماخذ درست کرنے کے دو طریقے

ایک اپ گریڈ آتا ہے، اور سرنگ کے دوسری طرف کے نظام وہ پوڈ ٹریفک مسترد کرنے لگتے ہیں جو پچھلے ہفتے کام کر رہا تھا۔ سرنگ چل رہی ہے، فائر وال کے قواعد کو ہاتھ نہیں لگا، اور کسی نے ساتھی کی پالیسی میں ترمیم نہیں کی۔ جو بدلا وہ کلسٹر لاگز میں نظر نہیں آتا: وہ ماخذ پتہ جو یہ نظام اب دیکھتے ہیں۔ یہ خلا اس ناکامی کی وضاحت کرتا ہے جو نیٹ ورک کی رکاوٹ جیسی دکھتی ہے اور اجازت کے مسئلے جیسا سلوک کرتی ہے۔

دو درست جواب ہیں، اور وہ آپ کو مختلف جگہوں پر لے جاتے ہیں۔ ConfigMap میں ترمیم سے پہلے ماخذ کا معاہدہ منتخب کریں۔

وہ طے شدہ قاعدہ جس کی تنصیب بند ہو گئی

GKE کے پرانے ورژن masquerade کا قاعدہ نصب کرتے تھے جو منزل 10.0.0.0/8 سے باہر ہونے پر پوڈ ماخذوں کو نوڈ کے پتے سے بدل دیتا تھا۔ اس حد کے اندر VPN گیٹ وے پوڈ کا پتہ دیکھتا تھا، جبکہ اس سے آگے کی چیز نوڈ سے آئی ہوئی لگتی تھی۔ ساتھیوں نے نوڈ پتوں کے گرد اجازت کی فہرستیں اور واپسی کے راستے بنائے کیونکہ انہوں نے یہی مشاہدہ کیا تھا۔

بعد کے ورژنوں نے وہ طے شدہ قاعدہ نصب کرنا بند کر دیا۔ پوڈ ٹریفک اب منزل جو بھی ہو، پوڈ پتوں کے ساتھ گیٹ وے پر پہنچتا ہے۔ جو ساتھی صرف نوڈ پتے روٹ کرتا ہے وہ جوابات مسترد کر دیتا ہے، اور کوئی فریق مفید لاگ اندراج نہیں لکھتا۔ درخواست دور کے سرے پر کامیاب بھی ہو سکتی ہے، اور یہی اس ناکامی کا پیچھا کرنا مخمصہ بناتا ہے۔

مردہ جزو کے معنی میں کچھ بھی ٹوٹا نہیں۔ دونوں فریق صرف اس پر متفق نہیں کہ کون سا ماخذ جائز ہے۔

وہ ماخذ منتخب کریں جو ساتھی کو نظر آنا چاہیے

پوڈ پتوں کو رکھنا زیادہ درست معاہدہ ہے۔ دور کا فریق وہ ورک لوڈ دیکھتا ہے جس نے ٹریفک پیدا کی، لاگ دیانت دار رہتے ہیں، اور ہر پوڈ کے لیے پالیسی ممکن ہو جاتی ہے۔ قیمت یہ ہے کہ ساتھی کو پوڈ کا سابقہ اٹھانا پڑتا ہے۔

نوڈ پتوں کو رکھنا سستا معاہدہ ہے۔ اس منزل کے لیے masquerade دوبارہ چالو کریں، اور ساتھی وہ پتہ دیکھتا رہے گا جس پر اسے پہلے سے بھروسا ہے۔

ایک سوال ان کے درمیان فیصلہ کرتا ہے: ساتھی ماخذ کے ساتھ کیا کرتا ہے؟ اگر وہ لاگ لکھتا ہے، فی ماخذ پالیسی لاگو کرتا ہے یا تنگ واپسی روٹنگ نافذ کرتا ہے، تو پوڈ پتے اضافی ترتیب کو جائز ٹھہراتے ہیں۔ اگر اسے صرف جواب بھیجنے ہوں، تو masquerade کم لاگت ہے اور دوسرے فریق سے کچھ نہیں مانگتا۔ کوئی بھی انتخاب قابل دفاع ہے جب تک دونوں ٹیمیں اسے لکھ لیں۔

تیسرا انتخاب عام طور پر غلطی ہے: سب کچھ masquerade کرنا اور ٹریفک کو منسوب کرنے کی صلاحیت کھو دینا۔ اس سے بچیں جب تک ساتھی واقعی نوڈ پتوں کے سوا کچھ روٹ نہ کر سکے۔

nonMasqueradeCIDRs کو حقیقی حدود کی طرف موڑیں

GKE kube-system میں ip-masq-agent چلاتا ہے، اور اس کا ConfigMap ان منزلوں کی فہرست دیتا ہے جو masquerade سے گزر جاتی ہیں۔ سرنگ کی طرف پوڈ ماخذوں کو محفوظ رکھنے کے لیے پوڈ کی حد، نوڈ کا ذیلی نیٹ ورک اور مقامی سابقہ سب اس فہرست میں آتے ہیں۔

نمونہ اقدار کو اپنے کلسٹر کی حدود سے بدلیں۔ فہرست کو ضرورت سے زیادہ چوڑا نہ بنائیں، کیونکہ ہر اضافی اندراج بدل دیتا ہے کہ کسی دوسری منزل کو کیا نظر آتا ہے۔ نیچے کے تین اندراج پوڈ نیٹ ورک، نوڈ ذیلی نیٹ ورک اور سرنگ کے پیچھے کے سابقے کی نمائندگی کرتے ہیں:

nonMasqueradeCIDRs:
  - 10.12.0.0/14
  - 10.100.0.0/16
  - 172.16.0.0/12
masqLinkLocal: false
resyncInterval: 60s

0.0.0.0/0 کا اندراج تمام منزلوں کے لیے masquerade بند کر دیتا ہے، جو بدلتا ہے کہ غیر متعلقہ ورک لوڈز بیرونی خدمات کو کیسے نظر آتے ہیں، اور شاذ و نادر ہی ارادی ہوتا ہے۔ ایجنٹ resyncInterval پر اپنی ترتیب دوبارہ پڑھتا ہے، اس لیے دوبارہ آغاز عام طور پر ضروری نہیں۔ جانچیں کہ ایجنٹ پوڈ چل رہا ہے، پھر اس کے اندر نصب فائل کھولیں۔ اسی فائل کا پڑھنا ثابت کرتا ہے کہ تبدیلی پہنچ گئی۔

جواب کا راستہ دوسرا نصف ہے

masquerade صرف درخواست کا ماخذ بدلتا ہے اور کچھ نہیں۔ ساتھی کو کوئی بھی ماخذ ملے، اسے واپس جانے کا راستہ اب بھی درکار ہے، اور کلسٹر کو ساتھی کی طرف راستہ بھی اب بھی درکار ہے۔

VPN گیٹ وے پر قبضہ دونوں ناکامیوں کو جلد الگ کرتا ہے۔ پوڈ پتوں کے ساتھ آ کر کبھی جواب نہ پانے والے پیکٹ کا مطلب ہے کہ ساتھی کے پاس پوڈ سابقے کے لیے راستہ نہیں۔ گیٹ وے پر نمودار ہو کر کبھی کلسٹر تک نہ پہنچنے والا جواب مطلب ہے کہ مقامی راستہ غائب ہے۔ کسی بھی صورت میں معاہدہ ٹکٹ میں لکھیں: ساتھی کون سا ماخذ دیکھتا ہے، اور جواب کس سابقے کی طرف واپس روٹ کرتا ہے۔

ہر اپ گریڈ کے بعد دوبارہ جانچیں

masquerade کا طے شدہ رویہ پہلے ہی ایک بار بدل چکا ہے، اور نوڈ پول کی تبدیلی کلسٹر نیٹ ورکنگ کو ری سیٹ کر سکتی ہے۔ ماخذ کے معاہدے کو مفروضہ نہیں، قابل تصدیق چیز سمجھیں۔

اپ گریڈ کے بعد ایک پوڈ سے مقامی خدمت پر ایک درخواست بھیجیں اور وہ ماخذ پڑھیں جو ساتھی لاگ کرتا ہے۔ وہی ایک مشاہدہ ایسی رجعت پکڑتا ہے جسے سرنگ کا حالاتی صفحہ خوشی سے صحت مند بتائے گا۔ اسے دہرانے میں ایک منٹ لگتا ہے اور اگلے شخص کی ایک شام بچتی ہے۔