VPN foydalanuvchilari uchun Pod IP, ClusterIP yoki ichki yuk balanslagichi
Pod IP Pod almashtirilgunga qadar VPN orqali yo‘naltiriladi. Pod-ga to‘g‘ridan to‘g‘ri kirishni, ClusterIP va ichki balanslagichni solishtiring va har birining sizga qancha turishini ko‘ring.
VPC CNI bilan Pod VPC-dan manzil olishi mumkin, to‘g‘ri marshrutga ega VPN foydalanuvchisi esa unga bevosita yetib boradi. Shu sababli Pod-ga bevosita kirish eng oddiy variant bo‘lib ko‘rinadi va Pod almashtirilgunga qadar shunday. Foydalanuvchi eslab qoladigan manzil ilovaga tegishli bo‘lishi kerak, nusxaga emas. Uchta kirishni solishtirish oxir-oqibat manzil qaysi obyektga tegishli ekani va ish yuki ko‘chganda nima ishlashda davom etishi kerakligiga borib taqaladi.
Avval hayot sikli bo‘yicha tanlang, so‘ngra kirishni yetib borish mumkin bo‘lishi uchun tarmoq nima qilishi kerakligiga qarab.
Uch kirish, uch hayot sikli
Pod IP Pod-ga tegishli: u bilan birga ajratiladi va tugaganda bo‘shatiladi. ClusterIP Service-ga tegishli va virtual bo‘lib, faqat klasterning xizmat marshrutlashi mavjud joyda ma’noga ega. Ichki yuk balanslagichi klaster boshqaruvchisi backendlar bilan dasturlaydigan bulut resursiga tegishli. Bu egalik modellari siz oladigan nosozlikni oldindan aytadi: eskirgan manzil, yetib bo‘lmaydigan nom yoki eskirgan backendlar to‘plami.
Tanlashdan oldin taqqoslashni yozib qo‘ying. Egasi va nosozlik nomlangandan so‘ng tanlov odatda o‘z-o‘zidan amalga oshadi.
| Entry | Owner | Failure when the workload moves |
|---|---|---|
| Pod IP | The Pod | Address changes and saved links break |
| ClusterIP | The Service | Virtual address with no meaning outside cluster routing |
| Internal balancer | Cloud resource plus controller | Backends update, but the DNS view is yours to maintain |
Pod-ga bevosita kirish: foydali, vaqtinchalik
Bevosita kirish nazorat qilinadigan tekshiruv uchun haqiqatan foydali: bitta administrator, bitta qisqa sessiya, bitta aniq port. Ammo foydalanuvchilar uchun bu yomon shartnoma, chunki manzil har bir joylashtirishda o‘zgaradigan amalga oshirish tafsiloti. Uni vikiga yozib qo‘yish esa ishlab turgan xizmatning mish-mishga aylanish yo‘lidir.
Bu keng qoidalarni ham chaqiradi. Bitta administratorning bitta Pod-ga yetib borishiga ruxsat tugun quyi tarmog‘idagi har bir manzilga ruxsat emas va odatda ikkinchisi yoziladi.
ClusterIP: dizayn bo‘yicha klaster bilan cheklangan
ClusterIP ishlaydi, chunki klasterning ma’lumot tekisligi u uchun marshrutlashni klaster ichida dasturlaydi. VPN-dagi noutbukdan manzil hech narsani anglatmaydi, agar biror narsa uni ataylab oshkor qilmasa. svc.cluster.local bilan tugaydigan nom klaster DNS-iga tegishli, shuning uchun uni boshqa hal qiluvchiga ega mijozga ko‘chirish marshrutlash xatosi o‘rniga mavjud bo‘lmagan nom beradi.
ClusterIP klaster ichidagi chaqiruvchilar uchun, jumladan boshqa ish yuklari uchun ham to‘g‘ri kirish bo‘lib qoladi. U shunchaki klasterning marshrutlash domenidan tashqaridagi foydalanuvchilar uchun e’lon qilish mexanizmi emas.
Ichki yuk balanslagichi: e’lon qilingan yo‘l
Ichki yuk balanslagichi sizga barqaror xususiy manzil va o‘z zonangiz ko‘rsata oladigan nom beradi, boshqaruvchi esa backendlar to‘plamini dolzarb saqlaydi, EKS yukni balanslash qo‘llanmasida tasvirlanganidek. Bu hech kim hujjatni tahrirlamay turib oddiy Pod almashtirishdan o‘tadigan kirishdir. Uning narxi bulut resursi, boshqaruvchi konfiguratsiyasi va VPN-dan keladigan marshrutdir va odamlar aynan shu qismlarni kam baholaydi.
Klaster haqiqatda ishga tushiradigan boshqaruvchi modelidan foydalaning. Bitta integratsiya uchun yozilgan izohlar boshqasiga taalluqli emas.
Manba manzili kim
Xavfsizlik guruhlari o‘z chegarasiga keladigan manbani ko‘radi va u VPN hamda yukni balanslash yo‘liga qarab ulangan mijoz yoki tarjima qilingan manzil bo‘lishi mumkin. EC2 asosidagi tugunlarda oddiy VPC CNI Podlari sukut bo‘yicha tugunning ENI guruhlarini meros oladi, qo‘llab-quvvatlanadigan konfiguratsiyalar esa Podga xos guruhlarni biriktirishi mumkin. Qoidalarni taxmin qilingan noutbuk manzili uchun emas, hujjatlashtirilgan yo‘l uchun yozing.
Ilovaning o‘z tinglovchisi va autentifikatsiyasini alohida nazorat sifatida saqlang. Oqimga ruxsat beradigan tarmoq qoidasi avtorizatsiya qarori emas va uni shunday qabul qilmaslik kerak.
Foydalanuvchilarga nima berish kerak
Foydalanuvchilarga manzil emas, xizmat nomini bering. Nomni xususiy zonada e’lon qiling, uni ichki kirishga yo‘naltiring, so‘ngra mijoz o‘sha nomni ochiq tutganda backend Podni almashtirib sinab ko‘ring. Bu mashq muhim xususiyatni tekshiradi: odatiy joylashtirishdan keyin ham o‘sha ilovaga yetib borish.
Pod-ga bevosita kirishni o‘z qamroviga ega hujjatlashtirilgan operatsion istisno sifatida, foydalanuvchi ko‘rsatmalaridan uzoqda saqlang.