कुबेरनेट्स के लिए इनग्रेस नियंत्रकों का अवलोकन और तुलना

किसी विशिष्ट एप्लिकेशन के लिए कुबेरनेट्स क्लस्टर लॉन्च करते समय, आपको यह समझने की आवश्यकता है कि एप्लिकेशन, व्यवसाय और डेवलपर्स इस संसाधन के लिए क्या सोचते हैं। इस जानकारी के साथ, आप एक वास्तुशिल्प निर्णय लेना शुरू कर सकते हैं और विशेष रूप से, एक विशिष्ट इनग्रेस नियंत्रक का चयन कर सकते हैं, जिनमें से आज पहले से ही बड़ी संख्या में हैं। बहुत सारे लेखों/दस्तावेज़ीकरणों आदि से गुज़रे बिना उपलब्ध विकल्पों का एक बुनियादी विचार प्राप्त करने के लिए, हमने यह अवलोकन तैयार किया है, जिसमें मुख्य (उत्पादन के लिए तैयार) इनग्रेस नियंत्रक शामिल हैं।

हमें उम्मीद है कि इससे सहकर्मियों को एक वास्तुशिल्प समाधान चुनने में मदद मिलेगी - कम से कम यह अधिक विस्तृत जानकारी और व्यावहारिक प्रयोग प्राप्त करने के लिए एक प्रारंभिक बिंदु बन जाएगा। पहले, हमने नेट पर अन्य समान सामग्रियों का अध्ययन किया था और, अजीब तरह से, एक भी अधिक या कम पूर्ण, और सबसे महत्वपूर्ण - संरचित - समीक्षा नहीं मिली। तो आइये उस कमी को पूरा करें!

मानदंड

सिद्धांत रूप में, तुलना करने और कोई उपयोगी परिणाम प्राप्त करने के लिए, आपको न केवल विषय क्षेत्र को समझने की आवश्यकता है, बल्कि मानदंडों की एक विशिष्ट सूची भी होनी चाहिए जो अनुसंधान वेक्टर को निर्धारित करेगी। इनग्रेस/कुबेरनेट्स के उपयोग के सभी संभावित मामलों का विश्लेषण करने का नाटक किए बिना, हमने नियंत्रकों के लिए सबसे सामान्य आवश्यकताओं को उजागर करने का प्रयास किया - तैयार रहें कि किसी भी मामले में आपको अपने सभी विशिष्टताओं और विवरणों का अलग से अध्ययन करना होगा।

लेकिन मैं उन विशेषताओं से शुरू करूंगा जो इतनी परिचित हो गई हैं कि उन्हें सभी समाधानों में लागू किया जाता है और उन पर विचार नहीं किया जाता है:

• सेवाओं की गतिशील खोज (सेवा खोज);
• एसएसएल समाप्ति;
• वेबसोकेट के साथ काम करना।

अब तुलना के बिंदुओं के लिए:

समर्थित प्रोटोकॉल

मौलिक चयन मानदंडों में से एक। हो सकता है कि आपका सॉफ़्टवेयर मानक HTTP पर काम न करे, या उसे एक साथ कई प्रोटोकॉल पर काम करने की आवश्यकता हो सकती है। यदि आपका मामला गैर-मानक है, तो इस कारक को ध्यान में रखना सुनिश्चित करें ताकि आपको बाद में क्लस्टर को पुन: कॉन्फ़िगर न करना पड़े। सभी नियंत्रकों के लिए, समर्थित प्रोटोकॉल की सूची भिन्न होती है।

मूल में सॉफ्टवेयर

ऐसे अनुप्रयोगों की कई विविधताएँ हैं जिन पर नियंत्रक आधारित है। लोकप्रिय हैं nginx, traefik, haproxy, envoy। सामान्य स्थिति में, ट्रैफ़िक कैसे प्राप्त और प्रसारित किया जाता है, इस पर इसका अधिक प्रभाव नहीं पड़ सकता है, लेकिन "हुड के नीचे" की संभावित बारीकियों और विशेषताओं को जानना हमेशा उपयोगी होता है।

यातायात मार्ग

किसी विशेष सेवा के लिए यातायात की दिशा के बारे में निर्णय लेना किसके आधार पर संभव है? आमतौर पर ये होस्ट और पथ होते हैं, लेकिन अतिरिक्त संभावनाएं भी हैं।

क्लस्टर के भीतर नेमस्पेस

नेमस्पेस (नेमस्पेस) - कुबेरनेट्स में संसाधनों को तार्किक रूप से विभाजित करने की क्षमता (उदाहरण के लिए, मंच, उत्पादन, आदि पर)। ऐसे इंग्रेस कंट्रोलर हैं जिन्हें प्रत्येक नेमस्पेस में अलग से स्थापित किया जाना चाहिए (और फिर यह ट्रैफ़िक को निर्देशित कर सकता है केवल इस स्थान के पॉड्स के लिए)। और ऐसे लोग (और उनके स्पष्ट बहुमत) हैं जो पूरे क्लस्टर के लिए विश्व स्तर पर काम करते हैं - उनमें नामस्थान की परवाह किए बिना, ट्रैफ़िक को क्लस्टर के किसी भी पॉड पर निर्देशित किया जाता है।

अपस्ट्रीम के लिए नमूने

एप्लिकेशन, सेवाओं के स्वस्थ उदाहरणों के लिए ट्रैफ़िक को कैसे निर्देशित किया जाता है? सक्रिय और निष्क्रिय जांच, पुनः प्रयास, सर्किट ब्रेकर के विकल्प मौजूद हैं (अधिक जानकारी के लिए, उदाहरण के लिए देखें, इस्तियो के बारे में लेख), कस्टम स्वास्थ्य जांच, आदि। यदि आपके पास उपलब्धता और संतुलन से विफल सेवाओं को समय पर हटाने की उच्च आवश्यकताएं हैं तो यह एक बहुत ही महत्वपूर्ण पैरामीटर है।

संतुलन एल्गोरिदम

कई विकल्प हैं: पारंपरिक से राउंड रोबिन विदेशी के लिए आरडीपी-कुकी, साथ ही व्यक्तिगत विशेषताएं जैसे चिपचिपा सत्र.

प्रमाणीकरण

नियंत्रक किन प्राधिकरण योजनाओं का समर्थन करता है? बेसिक, डाइजेस्ट, ओउथ, एक्सटर्नल-ऑथ - मुझे लगता है कि इन विकल्पों से परिचित होना चाहिए। यह एक महत्वपूर्ण मानदंड है यदि कई डेवलपर (और/या सिर्फ निजी) लूप हैं जिन्हें इनग्रेस के माध्यम से एक्सेस किया जाता है।

यातायात वितरण

क्या नियंत्रक कैनरी रोलआउट (कैनरी), ए/बी परीक्षण, ट्रैफ़िक मिररिंग (मिररिंग/शैडोइंग) जैसे आमतौर पर उपयोग किए जाने वाले ट्रैफ़िक वितरण तंत्र का समर्थन करता है? यह उन अनुप्रयोगों के लिए वास्तव में एक गंभीर विषय है जिनके लिए उत्पादक परीक्षण, उत्पाद बग को ऑफ-लाइन डीबग करना (या न्यूनतम हानि के साथ), ट्रैफ़िक विश्लेषण आदि के लिए सटीक और सटीक ट्रैफ़िक प्रबंधन की आवश्यकता होती है।

सशुल्क सदस्यता

क्या उन्नत कार्यक्षमता और/या तकनीकी सहायता के साथ नियंत्रक के लिए कोई भुगतान विकल्प है?

ग्राफिकल यूजर इंटरफ़ेस (वेब ​​यूआई)

क्या नियंत्रक कॉन्फ़िगरेशन को प्रबंधित करने के लिए कोई GUI है? मुख्य रूप से "सुविधा" के लिए और/या उन लोगों के लिए जिन्हें इनग्रेस'ए कॉन्फ़िगरेशन में कुछ बदलाव करने की आवश्यकता है, लेकिन "कच्चे" टेम्पलेट्स के साथ काम करना असुविधाजनक है। यदि डेवलपर्स तुरंत ट्रैफ़िक के साथ कुछ प्रयोग करना चाहते हैं तो यह उपयोगी हो सकता है।

जेडब्ल्यूटी सत्यापन

अंतिम एप्लिकेशन के लिए उपयोगकर्ता के प्राधिकरण और सत्यापन के लिए JSON वेब टोकन की अंतर्निहित सत्यापन की उपस्थिति।

कॉन्फ़िगरेशन अनुकूलन की संभावनाएँ

टेम्प्लेट एक्स्टेंसिबिलिटी उन तंत्रों के अर्थ में है जो आपको मानक कॉन्फ़िगरेशन टेम्प्लेट में अपने स्वयं के निर्देश, झंडे आदि जोड़ने की अनुमति देते हैं।

बुनियादी डीडीओएस सुरक्षा तंत्र

पते, श्वेतसूची, देश आदि के आधार पर सरल दर सीमा एल्गोरिदम या अधिक जटिल ट्रैफ़िक फ़िल्टरिंग विकल्प।

ट्रेस का अनुरोध करें

प्रवेश से विशिष्ट सेवाओं/पॉड्स तक और आदर्श रूप से सेवाओं/पॉड्स के बीच भी अनुरोधों की निगरानी, ​​ट्रैक और डिबग करने की क्षमता।

WAF

Поддержка एप्लिकेशन फ़ायरवॉल.

नियंत्रकों

नियंत्रकों की सूची के आधार पर बनाई गई थी आधिकारिक कुबेरनेट्स दस्तावेज़ीकरण и यह तालिका. हमने उनमें से कुछ को विशिष्टता या कम प्रसार (विकास के प्रारंभिक चरण) के कारण समीक्षा से बाहर कर दिया। बाकी पर नीचे चर्चा की गई है। आइए समाधानों के सामान्य विवरण के साथ शुरुआत करें और सारांश तालिका के साथ आगे बढ़ें।

कुबेरनेट्स से प्रवेश

वेबसाइट: github.com/kubernetes/ingress-nginx
लाइसेंस: अपाचे 2.0

यह कुबेरनेट्स के लिए आधिकारिक नियंत्रक है और इसे समुदाय द्वारा विकसित किया जा रहा है। नाम से स्पष्ट है, यह nginx पर आधारित है और अतिरिक्त सुविधाओं को लागू करने के लिए उपयोग किए जाने वाले Lua प्लगइन्स के एक अलग सेट द्वारा पूरक है। nginx की लोकप्रियता और नियंत्रक के रूप में उपयोग किए जाने पर इसमें न्यूनतम संशोधनों के कारण, यह विकल्प औसत इंजीनियर (वेब ​​​​अनुभव के साथ) के लिए कॉन्फ़िगर करना सबसे आसान और आसान हो सकता है।

एनजीआईएनएक्स इंक द्वारा प्रवेश

वेबसाइट: github.com/nginxinc/kubernetes-ingress
लाइसेंस: अपाचे 2.0

nginx डेवलपर्स का आधिकारिक उत्पाद। पर आधारित एक भुगतान संस्करण है एनजीआईएनएक्स प्लस. मुख्य विचार उच्च स्तर की स्थिरता, निरंतर पिछड़ी अनुकूलता, किसी भी बाहरी मॉड्यूल की अनुपस्थिति और घोषित बढ़ी हुई गति (आधिकारिक नियंत्रक की तुलना में) है, जो लुआ की अस्वीकृति के कारण प्राप्त हुई है।

मुफ़्त संस्करण काफी कम हो गया है, जिसमें आधिकारिक नियंत्रक के साथ तुलना करने पर भी (समान लुआ मॉड्यूल की कमी के कारण) शामिल है। साथ ही, भुगतान वाले में काफी व्यापक अतिरिक्त कार्यक्षमता होती है: वास्तविक समय मेट्रिक्स, जेडब्ल्यूटी सत्यापन, सक्रिय स्वास्थ्य जांच, और बहुत कुछ। एनजीआईएनएक्स इनग्रेस पर एक महत्वपूर्ण लाभ टीसीपी/यूडीपी ट्रैफिक के लिए पूर्ण समर्थन है (और सामुदायिक संस्करण में भी!)। माइनस - अभाव हालाँकि, ट्रैफ़िक वितरण सुविधा, "डेवलपर्स के लिए सर्वोच्च प्राथमिकता है", लेकिन इसे लागू करने में समय लगता है।

कोंग प्रवेश

वेबसाइट: github.com/Kong/kubernetes-ingress-controller
लाइसेंस: अपाचे 2.0

कोंग इंक द्वारा विकसित उत्पाद। दो संस्करणों में: वाणिज्यिक और मुफ़्त। nginx पर आधारित, जिसे बड़ी संख्या में Lua मॉड्यूल के साथ विस्तारित किया गया है।

प्रारंभ में, यह एपीआई अनुरोधों के प्रसंस्करण और रूटिंग पर केंद्रित था, अर्थात। एक एपीआई गेटवे के रूप में, लेकिन फिलहाल यह एक पूर्ण विकसित इनग्रेस कंट्रोलर बन गया है। मुख्य लाभ: कई अतिरिक्त मॉड्यूल (तृतीय-पक्ष डेवलपर्स सहित) जिन्हें स्थापित करना और कॉन्फ़िगर करना आसान है और जिनकी मदद से अतिरिक्त सुविधाओं की एक विस्तृत श्रृंखला लागू की जाती है। हालाँकि, अंतर्निहित फ़ंक्शन पहले से ही कई संभावनाएं प्रदान करते हैं। कार्य विन्यास सीआरडी संसाधनों का उपयोग करके किया जाता है।

उत्पाद की एक महत्वपूर्ण विशेषता - एक ही समोच्च के भीतर काम करना (क्रॉस-नेमस्पेस के बजाय) एक विवादास्पद विषय है: कुछ के लिए यह एक नुकसान की तरह प्रतीत होगा (आपको प्रत्येक समोच्च के लिए इकाइयां तैयार करनी होंगी), और किसी के लिए यह एक विशेषता है ( बीоअलगाव का उच्च स्तर, जैसे यदि एक नियंत्रक टूट गया है, तो समस्या केवल सर्किट तक ही सीमित है)।

यातायात

वेबसाइट: github.com/containous/traefik
लाइसेंस: एमआईटी

एक प्रॉक्सी जो मूल रूप से माइक्रोसर्विसेज और उनके गतिशील वातावरण के लिए अनुरोध रूटिंग के साथ काम करने के लिए बनाई गई थी। इसलिए, कई उपयोगी विशेषताएं: रिबूट किए बिना कॉन्फ़िगरेशन को अपडेट करना, बड़ी संख्या में संतुलन विधियों के लिए समर्थन, वेब इंटरफ़ेस, मेट्रिक्स फ़ॉरवर्डिंग, विभिन्न प्रोटोकॉल के लिए समर्थन, REST API, कैनरी रिलीज़ और बहुत कुछ। एक और अच्छी सुविधा बॉक्स से बाहर लेट्स एनक्रिप्ट प्रमाणपत्रों के लिए समर्थन है। नुकसान यह है कि उच्च उपलब्धता (एचए) को व्यवस्थित करने के लिए, नियंत्रक को अपने स्वयं के केवी भंडारण को स्थापित करने और कनेक्ट करने की आवश्यकता होगी।

HAProxy

वेबसाइट: github.com/jcmoraisjr/haproxy-ingress
लाइसेंस: अपाचे 2.0

HAProxy को लंबे समय से प्रॉक्सी और ट्रैफ़िक बैलेंसर के रूप में जाना जाता है। कुबेरनेट्स क्लस्टर के हिस्से के रूप में, यह "सॉफ्ट" कॉन्फ़िगरेशन अपडेट (यातायात की हानि के बिना), डीएनएस पर आधारित सेवा खोज, एपीआई का उपयोग करके गतिशील कॉन्फ़िगरेशन प्रदान करता है। सीएम को प्रतिस्थापित करके कॉन्फ़िगरेशन टेम्पलेट को पूरी तरह से अनुकूलित करना आकर्षक हो सकता है, साथ ही इसमें स्प्रिग लाइब्रेरी फ़ंक्शंस का उपयोग करने की क्षमता भी आकर्षक हो सकती है। सामान्य तौर पर, समाधान का मुख्य जोर उच्च गति, इसके अनुकूलन और उपभोग किए गए संसाधनों में दक्षता पर है। नियंत्रक का लाभ विभिन्न संतुलन विधियों की रिकॉर्ड संख्या का समर्थन है।

मल्लाह

वेबसाइट: github.com/appscode/voyager
लाइसेंस: अपाचे 2.0

HAproxy नियंत्रक पर आधारित, जिसे एक सार्वभौमिक समाधान के रूप में तैनात किया गया है जो बड़ी संख्या में प्रदाताओं पर सुविधाओं की एक विस्तृत श्रृंखला का समर्थन करता है। L7 और L4 पर ट्रैफ़िक को संतुलित करने का अवसर प्रदान किया जाता है, और समग्र रूप से TCP L4 ट्रैफ़िक को संतुलित करना समाधान की प्रमुख विशेषताओं में से एक कहा जा सकता है।

रूपरेखा

वेबसाइट: github.com/heptio/contour
लाइसेंस: अपाचे 2.0

यह समाधान केवल दूत पर आधारित नहीं है: इसे इसके द्वारा विकसित किया गया था संयुक्त रूप से इस लोकप्रिय प्रॉक्सी के लेखकों के साथ। एक महत्वपूर्ण विशेषता इनग्रेसरूट सीआरडी संसाधनों का उपयोग करके इनग्रेस संसाधनों के नियंत्रण को अलग करने की क्षमता है। एक ही क्लस्टर का उपयोग करने वाली कई विकास टीमों वाले संगठनों के लिए, यह पड़ोसी लूप में ट्रैफ़िक के साथ काम करने की सुरक्षा को अधिकतम करने और इनग्रेस संसाधनों को बदलते समय त्रुटियों से बचाने में मदद करता है।

यह संतुलन विधियों का एक विस्तारित सेट भी प्रदान करता है (इसमें अनुरोध मिररिंग, ऑटो-रिपीट, अनुरोध दर सीमित करना और बहुत कुछ है), यातायात प्रवाह और विफलताओं की विस्तृत निगरानी। शायद किसी के लिए यह चिपचिपा सत्रों के लिए समर्थन की कमी एक महत्वपूर्ण कमी होगी (हालांकि काम पहले से ही चल रहे हैं).

इस्तियो प्रवेश

वेबसाइट: istio.io/docs/tasks/traffic-management/ingress
लाइसेंस: अपाचे 2.0

एक व्यापक सेवा जाल समाधान जो न केवल एक इनग्रेस नियंत्रक है जो बाहर से आने वाले ट्रैफ़िक का प्रबंधन करता है, बल्कि क्लस्टर के भीतर सभी ट्रैफ़िक को भी नियंत्रित करता है। हुड के तहत, एन्वॉय का उपयोग प्रत्येक सेवा के लिए साइडकार प्रॉक्सी के रूप में किया जाता है। संक्षेप में, यह एक बड़ा संयोजन है जो "कुछ भी कर सकता है", और इसका मुख्य विचार अधिकतम प्रबंधनीयता, विस्तारशीलता, सुरक्षा और पारदर्शिता है। इसके साथ, आप ट्रैफ़िक रूटिंग को ठीक कर सकते हैं, सेवाओं के बीच प्राधिकरण तक पहुंच, संतुलन, निगरानी, ​​​​कैनरी रिलीज़ और बहुत कुछ कर सकते हैं। लेखों की श्रृंखला में इस्तियो के बारे में और पढ़ें "इस्तियो के साथ माइक्रोसर्विसेज पर वापस'.

राजदूत

वेबसाइट: github.com/datawire/ambassador
लाइसेंस: अपाचे 2.0

दूत पर आधारित एक अन्य समाधान। इसके मुफ़्त और व्यावसायिक संस्करण हैं। इसे "पूरी तरह से कुबेरनेट्स का मूल निवासी" के रूप में तैनात किया गया है, जो संबंधित लाभ (K8s क्लस्टर की विधियों और संस्थाओं के साथ कड़ा एकीकरण) लाता है।

तुलना तालिका

तो, लेख की परिणति यह विशाल तालिका है:

इसे करीब से देखने के लिए क्लिक किया जा सकता है और यह प्रारूप में भी उपलब्ध है गूगल शीट्स.

संक्षेप करने के लिए

इस लेख का उद्देश्य आपके विशेष मामले में क्या विकल्प चुनना है, इसकी अधिक संपूर्ण समझ (हालाँकि, किसी भी तरह से संपूर्ण नहीं!) प्रदान करना है। हमेशा की तरह, प्रत्येक नियंत्रक के अपने फायदे और नुकसान होते हैं...

कुबेरनेट्स का क्लासिक इंग्रेस अपनी उपलब्धता और सिद्धता के लिए अच्छा है, पर्याप्त सुविधाओं से भरपूर है - सामान्य स्थिति में, यह "आंखों के लिए पर्याप्त" होना चाहिए। हालाँकि, यदि स्थिरता, सुविधाओं के स्तर और विकास के लिए बढ़ी हुई आवश्यकताएं हैं, तो आपको एनजीआईएनएक्स प्लस और सशुल्क सदस्यता के साथ इनग्रेस पर ध्यान देना चाहिए। कोंग के पास प्लग-इन का सबसे समृद्ध सेट है (और, तदनुसार, वे जो अवसर प्रदान करते हैं), और भुगतान किए गए संस्करण में तो उनकी संख्या और भी अधिक है। इसमें एपीआई गेटवे, सीआरडी संसाधनों पर आधारित गतिशील कॉन्फ़िगरेशन, साथ ही बुनियादी कुबेरनेट्स सेवाओं के रूप में काम करने के पर्याप्त अवसर हैं।

संतुलन और प्राधिकरण विधियों के लिए बढ़ी हुई आवश्यकताओं के साथ, ट्रैफ़िक और HAProxy पर एक नज़र डालें। ये ओपन सोर्स प्रोजेक्ट हैं, जो वर्षों से सिद्ध हैं, बहुत स्थिर और सक्रिय रूप से विकसित हो रहे हैं। कंटूर को रिलीज़ हुए कुछ साल हो गए हैं, लेकिन यह अभी भी बहुत नया दिखता है और इसमें एन्वॉय के शीर्ष पर केवल बुनियादी सुविधाएँ जोड़ी गई हैं। यदि एप्लिकेशन के सामने WAF की उपस्थिति/एम्बेडिंग की आवश्यकताएं हैं, तो आपको Kubernetes या HAProxy से समान इनग्रेस पर ध्यान देना चाहिए।

और सुविधाओं के मामले में सबसे अमीर एनवॉय, खासकर इस्तियो के शीर्ष पर बने उत्पाद हैं। यह एक व्यापक समाधान प्रतीत होता है जो "कुछ भी कर सकता है", हालांकि, इसका मतलब अन्य समाधानों की तुलना में कॉन्फ़िगरेशन/लॉन्च/प्रशासन के लिए काफी अधिक प्रवेश सीमा भी है।

हमने एक मानक नियंत्रक के रूप में कुबेरनेट्स से इनग्रेस को चुना है और अभी भी इसका उपयोग करते हैं, जो 80-90% जरूरतों को कवर करता है। यह काफी विश्वसनीय, कॉन्फ़िगर करने और विस्तार करने में आसान है। सामान्य तौर पर, विशिष्ट आवश्यकताओं के अभाव में, इसे अधिकांश समूहों/अनुप्रयोगों के अनुरूप होना चाहिए। उन्हीं सार्वभौमिक और अपेक्षाकृत सरल उत्पादों में से, ट्रैफ़िक और HAProxy की अनुशंसा की जा सकती है।

पुनश्च

हमारे ब्लॉग पर भी पढ़ें:

• "इस्टियो के साथ माइक्रोसर्विसेज पर वापस": भाग 1 (मुख्य विशेषताओं का परिचय), भाग 2 (रूटिंग, यातायात नियंत्रण), भाग 3 (प्रमाणीकरण और प्राधिकरण);
• «कुबेरनेट्स युक्तियाँ और युक्तियाँ: एनजीआईएनएक्स इनग्रेस में कस्टम त्रुटि पृष्ठ";
• «कुबेरनेट्स टिप्स और ट्रिक्स: देव साइटों तक पहुंच'.

स्रोत: www.habr.com