Kubernetese klastri seadistamisel võib tekkida probleem, kui teate ainult, kuidas kasutada NodePorti, et muuta Kubernetese teenus Interneti kaudu juurdepääsetavaks. NodePorti teenusetüübi kasutamisel määratakse kõrge pordinumber ja peate oma tulemüürireeglis lubama ühendused nende portidega. See kahjustab teie infrastruktuuri, eriti kui serverile pääseb juurde avatud Interneti kaudu. Saate määrata IP-aadresside ploki väljaspool klastrit klastri administraatorina, kes saab edastada liiklust sealsetele teenustele. See on täpselt see, millest me selles artiklis räägime: kogu kriitilise teabe leidmiseks selle kohta, kuidas Kubernetesis teenuse väliseid IP-sid keelata.
Mis on väline IP-teenus?
Üks teenuse lõpp-punktidest võtab vastu liiklust, mis siseneb klastrisse, kasutades välist IP-d (sihtkoha IP-na) ja teenuseporti. Kubernetes ei vastuta välise IP haldamise eest.
Selles olukorras on ülioluline veenduda, millist IP-d kasutatakse Kubernetese klastrile juurdepääsuks. Kasutades välist IP-teenuse tüüpi, võime siduda teenuse IP-aadressiga, mida kasutatakse klastrile juurdepääsuks.
Selle olukorra mõistmiseks on oluline asjaolu, et Kubernetese võrk suhtleb Overlay võrguga. See tähendab, et pääsete ligi peaaegu igale klastri sõlmele, kui jõuate mõne sõlmeni (pea- või töösõlm).
Võrku näidatakse järgmiselt:
Nii diagrammi sõlmedel 1 kui 2 on üks IP-aadress. Päris Pod asub sõlmes 1, kuid IP-aadress 1.2.3.6 on seotud Nginxi teenusega sõlmes 1. Sõlme 1 IP-aadress 1.2.3.4 on seotud httpd-teenusega ja sõlme 2 tegelik Pod asub seal.
See on võimalik tänu Overlay võrgu alustele. IP-aadressi 1.2.3.4 kõverdamisel peaks httpd-teenus reageerima; kui me curl 1.2.3.5, peaks Nginxi teenus reageerima.
Välise IP eelised ja puudused
Siin on välise IP eelised ja puudused:
Välise IP-aadressi kasutamine on kasulik, kuna:
-
- Teie IP on täielikult teie kontrolli all. Pilveteenuse pakkuja ASN-i kasutamise asemel võite kasutada teie enda ASN-ile kuuluvat IP-d.
Välise IP puudused hõlmavad järgmist:
-
- Lihtne seadistus, mille me praegu läbi teeme, EI OLE väga kergesti kättesaadav. See tähendab, et kui sõlm ebaõnnestub, pole teenus enam juurdepääsetav ja peate probleemi käsitsi lahendama.
- IP-de käsitlemiseks on vaja märkimisväärset inimtööjõudu. Kuna IP-sid ei eraldata teie jaoks dünaamiliselt, peate seda tegema käsitsi.
Mis on vaikimisi keelamise/lubamise käitumine?
' Vaikimisi luba ” tähendab, et vaikimisi on kogu liiklus lubatud. Kui see pole spetsiaalselt lubatud, keelatakse termini '' kasutamisel vaikimisi kogu liiklus vaikimisi keelamine .” välja arvatud juhul, kui võrgupoliitika on määratud.
-
- Kogu liiklus podisse ja sealt on lubatud, kui selle Podi jaoks ei kehti võrgupoliitikad.
- Kui sisendtüüpi podi jaoks on jõus üks või mitu võrgupoliitikat, on lubatud ainult nende poliitikatega selgesõnaliselt lubatud sisendliiklus.
- Kui üks või mitu võrgupoliitikat rakenduvad väljapääsu tüüpi pod, siis on lubatud ainult nende poliitikatega lubatud väljumisliiklus.
Muude lõpp-punktitüüpide (VM-id, hostiliidesed) vaikeseade on liikluse blokeerimine. Lubatud on ainult võrgupoliitikaga spetsiaalselt lubatud liiklus, isegi kui lõpp-punktile ei kehti võrgupoliitikad.
Parim tava: vaikimisi keelamise poliitika
Peate konfigureerima oma Kubernetese kaustade jaoks loodud vaikimisi keelamise poliitika. See tagab, et soovimatu liiklus blokeeritakse automaatselt. Pidage meeles, et vaikimisi keelavad poliitikad jõustuvad alati viimasena; kui mõni muu poliitika lubab liiklust, siis keeldumine ei kehti. Keeldumine rakendatakse alles pärast kõigi muude poliitikate kaalumist.
Kuidas luua Kubernetes Podide jaoks vaikekeeldumise poliitika?
Soovitame kasutada globaalset võrgupoliitikat isegi siis, kui mõnda järgmistest reeglitest saab kasutada Kubernetese kaustade vaikekeeldumise poliitika loomiseks. Globaalset võrgupoliitikat rakendatakse kõikidele töökoormustele (VM-id ja konteinerid) kõigis nimeruumides ja hostides. Ülemaailmne võrgupoliitika julgustab ressursse kaitstes turvalisusele ettevaatlikku lähenemist.
-
- Vaikimisi lubage globaalse võrgupoliitika keelamiseks, ilma nimeruumita
- Lubage vaikimisi keelata võrgupoliitika nimeruumiga
- Luba vaikimisi, et keelata Kubernetese nimeruumi poliitika
Mis on IP-blokk?
Sellega valitakse konkreetsed IP CIDR-i vahemikud, mis lubatakse sisenemisallikateks või väljumiskohtadeks. Arvestades, et Pod IP-d on mööduvad ja ettearvamatud, peaksid need olema klastri välised IP-d.
Klastri sisenemise ja väljumise meetodite kasutamisel tuleb pakettide allika või sihtkoha IP-d sageli ümber kirjutada. Sõltuvalt kasutatavast võrgupluginast (pilveteenuse pakkuja, teenuse juurutamine jne), võib käitumine muutuda.
See kehtib sissepääsu kohta ja see tähendab, et mõnel juhul peate filtreerima sissetulevad paketid, mis põhinevad tegelikul allika IP-l. Teisest küljest võib „allika IP”, millel NetworkPolicy töötab, olla LoadBalanceri või isegi Podi sõlme IP jne.
See näitab, et klastri välisteks IP-aadressideks ümber kirjutatud kaustade ja teenuse IP-de vahelised ühendused võivad alluda ipBlock-põhisele väljapääsupiirangule.
Mis on vaikepoliitikad?
Kui nimeruumis pole juhtelemente, on kogu sisend- ja väljumisliiklus nimeruumi kaustadesse ja sealt vaikimisi lubatud. Saate muuta nimeruumi vaikekäitumist järgmiste näidete abil.
Vaikimisi Keela kogu sisenev liiklus
Kui loote võrgupoliitika, mis valib kõik kaustad, kuid ei hõlma nendesse kaustadesse sissetulevat liiklust, saate luua vaikimisi sisenemise isolatsioonipoliitika ja see on nimeruumi jaoks.
See tagab, et kõik kaustad, olenemata sellest, kas mõni muu NetworkPolicy neid valib, on sisenemiseks isoleeritud. See reegel ei kehti kaustast väljumise isoleerimise kohta.
Vaikimisi Keela kogu väljuv liiklus
Kui loote NetworkPolicy, mis valib kõik kaustad, kuid keelab väljumisliikluse nendest kaustadest, saate luua vaikeväljundi isolatsioonipoliitika ja see on ka nimeruumi jaoks.
Järeldus
See juhend käsitles DenyServiceExternalIP-ide kasutamist. Oleme loonud ka skemaatilise esituse, et kasutajad mõistaksid, et see töötab. Oleme esitanud ka näidiskonfiguratsioonid.