Pod, tugun yoki klaster: VPN sidecar aslida nimani qayta yo'naltiradi

Kubernetes Pod ichidagi VPN sidecar yaxshi odobli host darajasidagi VPN ga o'xshaydi va o'xshashlik nom fazosi chegarasida tugaydi. Bitta Pod ichidagi konteynerlar manzil va port fazosini ham o'z ichiga olgan tarmoq nom fazosini bo'lishadi, shuning uchun marshrut va siyosat o'rnatuvchi sidecar ilova paketlari qayerga ketishini haqiqatan o'zgartiradi. Tugundagi boshqa Pod lar uchun hech narsani o'zgartirmaydi va siz uni shunday sozlamasangiz, tugunning o'z stekiga ham tegmaydi. Bu chegarani to'g'ri tushunish nimalarni joylashtira olishingizni va nimalarni sinab ko'rish kerakligini belgilaydi. Quyidagi bo'limlar buni nom fazosidan tashqariga qarab kuzatadi.

Umumiy nom fazosi, umumiy oqibatlar

Pod ichidagi ikki konteyner loopback orqali gaplashadi va bir xil interfeyslarni ko'radi, sidecar naqshining umuman ishlashining sababi shu: ilovaga tunnel borligini bilish shart emas, chunki u hal qiladigan marshrut o'zi ishlatadigan nom fazosida o'rnatilgan. Xuddi shu xususiyat sidecar xatolari ilovaning xatolari ekanini bildiradi. Haddan tashqari ko'p ushlaydigan marshrut yoki tunnel ichidagi rezolverga ishora qiluvchi DNS o'zgarishi o'sha Pod dagi har bir jarayonga darhol taalluqli bo'ladi. Umumiy nom fazosida konteyner bo'yicha marshrutlash yo'q, shuning uchun sidecar ni bitta jarayon bilan cheklab bo'lmaydi.

Ko'rib chiqishda yodda tutish kerak bo'lgan mexanizm shu: ta'sir radiusi Pod, tugun emas va klaster emas.

Sidecar yetib bormaydigan joy

Boshqa Pod lar o'z nom fazolari va o'z marshrutlashini saqlaydi, shuning uchun bir xil chiqishga muhtoj ish yuki bir xil sidecar yoki uning o'rniga tugun darajasidagi dizaynni talab qiladi. Tugun trafigi ham Pod nom fazosidan tashqarida, host tarmoqli Pod lar esa bu izolyatsiyadan ataylab butunlay voz kechadi. Agar qulay bir narsaga yetish uchun sidecar ni host tarmog'i bilan ishga tushirsangiz, qamrovni bitta Pod dan butun tugunga kengaytirgansiz va buni baland ovozda aytish kerak.

Klaster xizmatlariga trafik yana bir keng tarqalgan ajablantiruvchi holat. Pod ichidagi keng standart marshrut API serveriga yoki ClusterIP xizmatiga mo'ljallangan so'rovlarni ushlab qolishi mumkin, keyin ular tunnel buzilgandek ko'rinadigan tarzda muvaffaqiyatsiz bo'ladi.

Marshrut rejasi: Pod, xizmat, tugun va VPN diapazonlari

To'rt diapazonni yozib qo'ying va biror narsani joylashtirishdan oldin ularni qoplanishga tekshiring: Pod CIDR, xizmat CIDR, tugun manzillari va VPN orqasidagi manzillar. VPN ning xususiy diapazonlari bilan klasterning o'z fazosi o'rtasidagi qoplanish kam uchraydi va standart marshrut buning uchun noto'g'ri yechim. Marshrut rejasi manifest bilan bir xil repozitoriyda bo'lishi kerak, chunki keyingi klaster butunlay boshqa Pod va xizmat diapazonlarini berishi mumkin.

DNS rejaning bir qismi, alohida tashvish emas. Rezolver konfiguratsiyasini qayta yozadigan sidecar klaster ichidagi xizmatlarni topishni buzishi mumkin, tashqi so'rovlar esa mukammal ishlaydi.

Ishga tushish va nosozlik aniq holatlardir

Ishlayotgan sidecar jarayoni chiqish siyosati emas. Tunnel tayyor bo'lgunga qadar qaysi trafik oqishi mumkinligini va keyin u o'lsa nima bo'lishini hal qiling, so'ng bu qarorni amalga oshiring: ilova konteynerini darvozada ushlab turuvchi zond, standart bo'yicha rad etuvchi tarmoq siyosati yoki ikkalasi ham. Ulardan biri bo'lmasa, ilova ishga tushadi, nomlarni hal qiladi va tunnel hali ulanayotganda trafikni tugunning odatdagi yo'lidan tashqariga yuboradi.

Bu bo'shliq sog'lom klasterni qisqa, buzilgan klasterni doimiy bo'ladi va hujumchi yoki tasodifiy ma'lumot sizib chiqishi aynan shu xususiyatni afzal ko'radi.

Tartibni nosozlik testi bilan bog'lang. Sidecar ni o'ldiring va ilova jimgina orqaga chekinish o'rniga o'zining mo'ljallangan chiqishini yo'qotishini tasdiqlang.

Imkoniyatlar, siyosatlar va ilova konteyneridan sinov

Interfeyslar yaratish va marshrutlarni o'zgartirish uchun zarur imkoniyatlarni berish imtiyoz qaroridir va izolyatsiyalangan Pod uchun mos imtiyoz tugun stekida avtomatik ravishda mos bo'lmaydi. Klaster qo'llab-quvvatlaydigan tarmoq va xavfsizlik siyosati mexanizmlaridan foydalaning va har bir CNI yoki siyosat amalga oshirilishi VPN interfeysiga bir xil munosabatda bo'ladi deb o'ylamang; farqlar aynan sizni qiziqtirgan nosozlik holatlarida ko'rinadi.

Haqiqiy ilova konteyneridan sinab ko'ring, xususiy manzilga, klaster xizmatiga va ochiq internetga yangi so'rovlar bilan. Sidecar dan qilingan sinov tunnel ishlashini isbotlaydi, ilova kerakli narsaga yetishini emas.

Klasterning tarmoq taxminlarini VPN konfiguratsiyasi yonida hujjatlashtiring. Shunda ish yukini boshqa klasterga ko'chirish jimgina ishlashdan to'xtaydigan obraz o'zgarishi emas, marshrut rejasini tekshirish mashqi bo'ladi.