K3S -palkojen verkon käyttöongelmien ratkaiseminen Rancherissa

POD -verkon rajoitusten ymmärtäminen K3S: ssä 🛜

Kun perustetaan Kubernetes -klusteri Rancherin ja K3S: n kanssa, verkottumisesta voi tulla suuri haaste. Yleinen ongelma syntyy, kun työntekijöiden solmut voivat saavuttaa ulkoiset verkkot, mutta näissä solmuissa toimivat palot ovat rajoitettuja. Tämä voi olla turhauttavaa, varsinkin kun solmissasi on asianmukaiset reitit määritettyjä, mutta palkkasi ovat eristettyjä.

Tätä skenaariota esiintyy usein ympäristöissä, joissa työntekijöiden solmut ovat osa laajempaa verkkoarkkitehtuuria. Esimerkiksi työntekijän solmut saattavat kuulua 192.168.1.x -aliverkkoon ja voivat käyttää toista aliverkkoa, kuten 192.168.2.x, staattisten reiteillä. Näillä solmuilla olevat palot eivät kuitenkaan pysty kommunikoimaan koneiden kanssa vuonna 192.168.2.x.

Tässä haaste on siinä, kuinka Kubernetes hallitsee verkottumista ja kuinka liikenne kulkee palkoista ulkoisiin kohteisiin. Ilman asianmukaista kokoonpanoa POD: t saattavat pystyä käyttämään resursseja oman solmunsa verkkoon jättäen ulkoiset koneet saavuttamattomiksi. Ymmärtäminen, miksi tämä tapahtuu, on ratkaisevan tärkeää ratkaisun löytämiseksi.

Tässä artikkelissa tutkimme, miksi POD: t kohtaavat nämä verkkorajoitukset ja miten ne voivat käyttää ulkoisia aliverkkoja. Käytännön vaiheiden ja reaalimaailman esimerkkien avulla autamme sinua ylittämään tämän liitettävyyskuilun. Sukellamme sisään! 🚀

K3S-podien ristikkäisen yhteyden varmistaminen

Kun otetaan huomioon K3s Rancherin kanssa verkottumisongelmia voi syntyä, kun palkojen on kommunikoitava välittömän aliverkonsa ulkopuolella olevien koneiden kanssa. Skriptit tarjosivat tämän ongelman muokkaamalla reitityssääntöjä ja määrittämällä NAT (verkkoosoitteen käännös). Yksi avainkomentosarja käyttää iPtables Naamioituneen säännön soveltamiseksi varmistamalla, että POD -liikenne näyttää tulevan itse työntekijän solmusta. Tämän avulla ulkoiset koneet voivat reagoida palkoihin, ylittäen oletusverkon eristyksen.

Toinen lähestymistapa sisältää staattisten reittien manuaalista lisäämistä. Työntekijöiden solmuilla on usein pääsy muihin verkkoihin staattisten reittien kautta, mutta Kubernetes -palot eivät peri näitä reittejä oletuksena. Suorittamalla komentosarja, joka lisää nimenomaisesti reitin numeroon 192.168.2.x solmun yhdyskäytävän kautta, varmistamme, että palot pääsevät näihin koneisiin. Tämä on välttämätöntä ympäristöissä, joissa useiden sisäisten verkkojen on kommunikoitava, kuten yritykset, joilla on erilliset VLAN -laitteet eri osastoille.

Prosessin automatisoimiseksi a Kubernetes Daemonset voidaan ottaa käyttöön. Tämä varmistaa, että verkkokokoonpanoja sovelletaan johdonmukaisesti klusterin kaikissa solmuissa. Daemonset tarjoaa etuoikeutetun säiliön, joka suorittaa verkottumiskomennot, mikä tekee siitä skaalautuvan ratkaisun. Tämä menetelmä on erityisen hyödyllinen, kun hallitaan suurta työntekijän solmujen laivastoa, jossa jokaisen solmun manuaaliset määrittäminen olisi epäkäytännöllistä. Kuvittele pilvipohjainen sovellus, joka tarvitsee pääsyä toisessa aliverkossa isännöimään vanhaan tietokantaan-tämä asennus varmistaa saumattoman yhteyden.

Lopuksi testaus on ratkaisevan tärkeää. Toimitettu komentosarja ottaa käyttöön yksinkertaisen busybox -podin, joka yrittää pingiä ulkoista konetta. Jos ping onnistuu, se vahvistaa, että liitettävyyskorjaus toimii. Tämäntyyppinen reaalimaailman varmennus on korvaamaton tuotantoympäristöissä, joissa rikkoutuneet verkkokokoonpanot voivat johtaa palvelun häiriöihin. Yhdistämällä nämä lähestymistavat-NAT, staattiset reitit, Kubernetes-automaatio ja live-testaus-luomme vankan ratkaisun verkoston väliseen pääsyyn K3S-klustereissa. 🚀

#!/bin/bash
# Enable IP forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
# Add NAT rule to allow pods to access external networks
iptables -t nat -A POSTROUTING -s 10.42.0.0/16 -o eth0 -j MASQUERADE
# Persist iptables rule
iptables-save > /etc/iptables/rules.v4
# Restart networking service
systemctl restart networking

#!/bin/bash
# Add a static route to allow pods to reach 192.168.2.x
ip route add 192.168.2.0/24 via 192.168.1.1 dev eth0
# Verify the route
ip route show
# Make the route persistent
echo "192.168.2.0/24 via 192.168.1.1 dev eth0" >> /etc/network/interfaces
# Restart networking
systemctl restart networking

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: k3s-network-fix
spec:
  selector:
    matchLabels:
      app: network-fix
  template:
    metadata:
      labels:
        app: network-fix
    spec:
      hostNetwork: true
      containers:
      - name: network-fix
        image: alpine
        command: ["/bin/sh", "-c"]
        args:
        - "ip route add 192.168.2.0/24 via 192.168.1.1"
        securityContext:
          privileged: true

apiVersion: v1
kind: Pod
metadata:
  name: network-test
spec:
  containers:
  - name: busybox
    image: busybox
    command: ["sh", "-c", "ping -c 4 192.168.2.10"]
  restartPolicy: Never

K3S-verkottumisen optimointi moni-subnet-viestinnälle

Yksi tärkeä, mutta usein huomiotta jätetty näkökohta K3S -verkottuminen on Container Network -rajapinnan (CNI) rooli POD -yhteyden hallinnassa. Oletusarvoisesti K3S käyttää flanellia CNI: nsä, joka yksinkertaistaa verkottumista, mutta ei välttämättä tue edistynyttä reititystä laatikosta. Tapauksissa, joissa palkojen on käytettävä resursseja ensisijaisen aliverkonsa ulkopuolelle, flanellin korvaaminen ominaisuusrikkaammalla CNI: llä, kuten Calico tai Cilium, voi tarjota ylimääräistä joustavuutta ja mukautettuja reititysvaihtoehtoja.

Toinen tärkeä tekijä on DNS -resoluutio. Vaikka reititys on määritetty oikein, POD: t saattavat silti kamppailee yhteyden muodostamiseksi ulkoisiin palveluihin väärien DNS -asetusten vuoksi. Kubernetes luottaa tyypillisesti CoreDN: iin, jotka eivät välttämättä ratkaise isäntänimiä automaattisesti ulkoisista verkkoista. Mukautettujen DNS -asetusten määrittäminen klusterissa voivat auttaa varmistamaan sujuvan viestinnän palkojen ja koneiden välillä muiden aliverkkojen välillä parantaen sekä saavutettavuutta että suorituskykyä.

Turvallisuusnäkökohdat ovat myös avainasemassa. POD -käyttöoikeuden laajentaessa paikallisen verkon ulkopuolelle palomuurisääntöjä ja verkkokäytäntöjä on mukautettava huolellisesti arkaluontoisten resurssien paljastamiseksi. Kubernetes -verkkokäytäntöjen toteuttaminen voi rajoittaa tarpeetonta liikennettä samalla kun vaaditaan tarvittavat yhteydet. Esimerkiksi POD: lla toimiva verkkopalvelu voi tarvita pääsyä etätietokantaan, mutta sillä ei pitäisi olla rajoittamatonta pääsyä kaikkiin ulkoisiin koneisiin. Näiden politiikkojen hallinta parantaa turvallisuutta tehokkaasti samalla kun ylläpidetään tarvittavaa liitettävyyttä. 🔐