🥇कैलिको के साथ नेटवर्क नीति विकल्पों को समझना

केलिको नेटवर्क प्लगइन हार्डवेयर होस्ट, वर्चुअल मशीन और पॉड्स की सुरक्षा के लिए एकीकृत सिंटैक्स के साथ नेटवर्क नीतियों की एक विस्तृत श्रृंखला प्रदान करता है। इन नीतियों को नामस्थान के भीतर लागू किया जा सकता है या वैश्विक नेटवर्क नीतियां लागू की जा सकती हैं मेजबान समापन बिंदु (सीधे होस्ट पर चलने वाले एप्लिकेशन की सुरक्षा के लिए - होस्ट एक सर्वर या वर्चुअल मशीन हो सकता है) या कार्यभार समापन बिंदु (कंटेनरों या होस्ट की गई वर्चुअल मशीनों में चल रहे एप्लिकेशन की सुरक्षा के लिए)। केलिको नीतियां आपको प्रीडीएनएटी, अनरैकर्ड और अप्लाईऑनफॉरवर्ड जैसे विकल्पों का उपयोग करके पैकेट के पथ में विभिन्न बिंदुओं पर सुरक्षा उपाय लागू करने की अनुमति देती हैं। यह समझना कि ये विकल्प कैसे काम करते हैं, आपके समग्र सिस्टम की सुरक्षा और प्रदर्शन को बेहतर बनाने में मदद कर सकते हैं। यह आलेख पैकेट प्रोसेसिंग पथ (आईपीटैबल्स चेन) में क्या होता है, इस पर जोर देने के साथ, होस्ट एंडपॉइंट्स पर लागू इन केलिको नीति विकल्पों (प्रीडीएनएटी, अनरैक्ड और अप्लाईऑनफॉरवर्ड) का सार बताता है।

यह आलेख मानता है कि आपको कुबेरनेट्स और केलिको नेटवर्क नीतियां कैसे काम करती हैं, इसकी बुनियादी समझ है। यदि नहीं, तो हम इसे आज़माने की सलाह देते हैं बुनियादी नेटवर्क नीति ट्यूटोरियल и मेजबान सुरक्षा ट्यूटोरियल इस लेख को पढ़ने से पहले केलिको का उपयोग करें। हम आपसे यह भी अपेक्षा करते हैं कि आपको कार्य की बुनियादी समझ हो iptables लिनक्स में।

कैलिकौ वैश्विक नेटवर्क नीति आपको लेबल द्वारा एक्सेस नियमों का एक सेट लागू करने की अनुमति देता है (होस्टों और वर्कलोड/पॉड के समूहों के लिए)। यह बहुत उपयोगी है यदि आप एक साथ विषम प्रणालियों का उपयोग करते हैं - वर्चुअल मशीन, सीधे हार्डवेयर पर एक सिस्टम, या कुबेरनेट्स इंफ्रास्ट्रक्चर। इसके अलावा, आप घोषणात्मक नीतियों के एक सेट का उपयोग करके अपने क्लस्टर (नोड्स) की सुरक्षा कर सकते हैं और आने वाले ट्रैफ़िक पर नेटवर्क नीतियां लागू कर सकते हैं (उदाहरण के लिए, नोडपोर्ट्स या बाहरी आईपी सेवा के माध्यम से)।

मौलिक स्तर पर, जब केलिको एक पॉड को नेटवर्क से जोड़ता है (नीचे चित्र देखें), तो यह इसे वर्चुअल ईथरनेट इंटरफ़ेस (वीथ) का उपयोग करके होस्ट से जोड़ता है। पॉड द्वारा भेजा गया ट्रैफ़िक इस वर्चुअल इंटरफ़ेस से होस्ट तक आता है और उसी तरह संसाधित होता है जैसे कि यह किसी भौतिक नेटवर्क इंटरफ़ेस से आया हो। डिफ़ॉल्ट रूप से, केलिको इन इंटरफ़ेस को caliXXX नाम देता है। चूँकि ट्रैफ़िक वर्चुअल इंटरफ़ेस के माध्यम से आता है, यह iptables के माध्यम से जाता है जैसे कि पॉड एक हॉप दूर हो। इसलिए, जब ट्रैफ़िक किसी पॉड पर/से आता है, तो इसे होस्ट के दृष्टिकोण से अग्रेषित किया जाता है।

केलिको चलाने वाले कुबेरनेट्स नोड पर, आप एक वर्चुअल इंटरफ़ेस (वेथ) को वर्कलोड में निम्नानुसार मैप कर सकते हैं। नीचे दिए गए उदाहरण में आप देख सकते हैं कि veth#10 (calic1cbf1ca0f8) कैलिको-मॉनिटरिंग नेमस्पेस में cnx-manager-* से जुड़ा है।

[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
    link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
    inet6 fe80::ecee:eeff:feee:eeee/64 scope link
       valid_lft forever preferred_lft forever
...

[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m                            ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...

यह देखते हुए कि केलिको प्रत्येक कार्यभार के लिए एक वीथ इंटरफ़ेस बनाता है, यह नीतियों को कैसे लागू करता है? ऐसा करने के लिए, केलिको iptables का उपयोग करके पैकेट प्रोसेसिंग पथ की विभिन्न श्रृंखलाओं में हुक बनाता है।

नीचे दिया गया चित्र आईपीटेबल्स (या नेटफिल्टर सबसिस्टम) में पैकेट प्रोसेसिंग में शामिल श्रृंखलाओं को दिखाता है। जब कोई पैकेट नेटवर्क इंटरफ़ेस के माध्यम से आता है, तो वह पहले PREROUTING श्रृंखला से गुजरता है। फिर एक रूटिंग निर्णय लिया जाता है, और इसके आधार पर, पैकेट या तो INPUT (होस्ट प्रक्रियाओं के लिए निर्देशित) या फॉरवर्ड (पॉड या नेटवर्क पर किसी अन्य नोड के लिए निर्देशित) से होकर गुजरता है। स्थानीय प्रक्रिया से, पैकेट केबल के नीचे भेजे जाने से पहले आउटपुट और फिर पोस्ट्राउटिंग श्रृंखला से गुजरता है।

ध्यान दें कि आईपीटेबल्स प्रोसेसिंग के संदर्भ में पॉड भी एक बाहरी इकाई (वीथ से जुड़ा हुआ) है। आइए संक्षेप में बताएं:

अग्रेषित ट्रैफ़िक (नैट, रूट किया गया या किसी पॉड से/तक) प्रीरूटिंग - फ़ॉर्वर्ड - पोस्ट्राउटिंग श्रृंखलाओं से होकर गुजरता है।
स्थानीय होस्ट प्रक्रिया का ट्रैफ़िक PREROUTING - INPUT श्रृंखला से होकर गुजरता है।
स्थानीय होस्ट प्रक्रिया से ट्रैफ़िक आउटपुट - पोस्ट्राउटिंग श्रृंखला के माध्यम से जाता है।

केलिको नीति विकल्प प्रदान करता है जो आपको सभी श्रृंखलाओं में नीतियां लागू करने की अनुमति देता है। इसे ध्यान में रखते हुए, आइए केलिको में उपलब्ध विभिन्न नीति कॉन्फ़िगरेशन विकल्पों पर नज़र डालें। नीचे दिए गए विकल्पों की सूची की संख्याएँ ऊपर दिए गए चित्र की संख्याओं के अनुरूप हैं।

कार्यभार समापन बिंदु (पॉड) नीति
होस्ट समापन बिंदु नीति
अप्लाईऑनफॉरवर्ड विकल्प
प्रीडीएनएटी नीति
ट्रैक न की गई नीति

आइए यह देखकर शुरू करें कि वर्कलोड एंडपॉइंट्स (कुबेरनेट्स पॉड्स या ओपनस्टैक वीएम) पर नीतियां कैसे लागू की जाती हैं, और फिर होस्ट एंडपॉइंट्स के लिए नीति विकल्पों को देखें।

कार्यभार समापनबिंदु

कार्यभार समापन बिंदु नीति (1)

यह आपके कुबेरनेट्स पॉड्स की सुरक्षा के लिए एक विकल्प है। केलिको कुबेरनेट्स नेटवर्कपॉलिसी के साथ काम करने का समर्थन करता है, लेकिन यह अतिरिक्त नीतियां भी प्रदान करता है - केलिको नेटवर्कपॉलिसी और ग्लोबलनेटवर्कपॉलिसी। केलिको प्रत्येक पॉड (वर्कलोड) के लिए एक श्रृंखला बनाता है और फॉरवर्ड चेन की फ़िल्टर तालिका में वर्कलोड के लिए इनपुट और आउटपुट चेन में हुक बनाता है।

मेजबान समापनबिंदु

होस्ट समापन बिंदु नीति (2)

सीएनआई (कंटेनर नेटवर्क इंटरफेस) के अलावा, केलिको नीतियां मेजबान की सुरक्षा करने की क्षमता प्रदान करती हैं। केलिको में, आप होस्ट इंटरफ़ेस और, यदि आवश्यक हो, पोर्ट नंबरों के संयोजन को निर्दिष्ट करके एक होस्ट एंडपॉइंट बना सकते हैं। इस इकाई के लिए नीति प्रवर्तन INPUT और OUTPUT श्रृंखलाओं में फ़िल्टर तालिका का उपयोग करके प्राप्त किया जाता है। जैसा कि आप आरेख से देख सकते हैं, (2) वे नोड/होस्ट पर स्थानीय प्रक्रियाओं पर लागू होते हैं। यानी, यदि आप एक ऐसी नीति बनाते हैं जो होस्ट एंडपॉइंट पर लागू होती है, तो यह आपके पॉड्स से आने/जाने वाले ट्रैफ़िक को प्रभावित नहीं करेगी। लेकिन यह केलिको नीतियों का उपयोग करके आपके होस्ट और पॉड्स के लिए ट्रैफ़िक को अवरुद्ध करने के लिए एकल इंटरफ़ेस/सिंटैक्स प्रदान करता है। यह एक विषम नेटवर्क के लिए नीतियों के प्रबंधन की प्रक्रिया को बहुत सरल बनाता है। क्लस्टर सुरक्षा बढ़ाने के लिए होस्ट एंडपॉइंट नीतियों को कॉन्फ़िगर करना एक अन्य महत्वपूर्ण उपयोग मामला है।

अप्लाईऑनफॉरवर्ड नीति (3)

अप्लाईऑनफॉरवर्ड विकल्प केलिको वैश्विक नेटवर्क नीति में उपलब्ध है, जिससे नीतियों को होस्ट एंडपॉइंट से गुजरने वाले सभी ट्रैफिक पर लागू किया जा सकता है, जिसमें होस्ट द्वारा अग्रेषित किया जाने वाला ट्रैफिक भी शामिल है। इसमें स्थानीय पॉड या नेटवर्क पर कहीं भी अग्रेषित ट्रैफ़िक शामिल है। केलिको को PreDNAT और अनट्रैक का उपयोग करने वाली नीतियों के लिए इस सेटिंग को सक्षम करने की आवश्यकता है, निम्नलिखित अनुभाग देखें। इसके अलावा, ApplyOnForward का उपयोग उन मामलों में होस्ट ट्रैफ़िक की निगरानी के लिए किया जा सकता है जहां वर्चुअल राउटर या सॉफ़्टवेयर NAT का उपयोग किया जाता है।

ध्यान दें कि यदि आपको होस्ट प्रक्रियाओं और पॉड्स दोनों पर समान नेटवर्क नीति लागू करने की आवश्यकता है, तो आपको ApplyOnForward विकल्प का उपयोग करने की आवश्यकता नहीं है। आपको बस आवश्यक होस्टएंडपॉइंट और वर्कलोड एंडपॉइंट (पॉड) के लिए एक लेबल बनाना है। केलिको लेबल के आधार पर नीति को लागू करने के लिए पर्याप्त स्मार्ट है, भले ही एंडपॉइंट प्रकार (होस्टेंडपॉइंट या वर्कलोड) कुछ भी हो।

प्रीडीएनएटी नीति (4)

कुबेरनेट्स में, सेवा इकाई पोर्ट को नोडपोर्ट्स विकल्प का उपयोग करके या वैकल्पिक रूप से (कैलिको का उपयोग करते समय), क्लस्टर आईपी या बाहरी आईपी विकल्पों का उपयोग करके विज्ञापन करके बाहरी रूप से प्रदर्शित किया जा सकता है। क्यूब-प्रॉक्सी डीएनएटी का उपयोग करके किसी सेवा से जुड़े आने वाले ट्रैफ़िक को संबंधित सेवा के पॉड्स तक संतुलित करता है। इसे देखते हुए, आप नोडपोर्ट्स के माध्यम से आने वाले यातायात के लिए नीतियों को कैसे लागू करते हैं? यह सुनिश्चित करने के लिए कि डीएनएटी (जो होस्ट:पोर्ट और संबंधित सेवा के बीच मैपिंग है) द्वारा ट्रैफ़िक संसाधित होने से पहले ये नीतियां लागू की जाती हैं, केलिको ग्लोबलनेटवर्कपॉलिसी के लिए "प्रीडीएनएटी: ट्रू" नामक एक पैरामीटर प्रदान करता है।

जब प्री-डीएनएटी सक्षम किया जाता है, तो इन नीतियों को आरेख में (4) में - प्रीरूटिंग श्रृंखला की मैंगल तालिका में - डीएनएटी से ठीक पहले लागू किया जाता है। यहां नीतियों के सामान्य क्रम का पालन नहीं किया जाता है, क्योंकि इन नीतियों का अनुप्रयोग ट्रैफ़िक प्रसंस्करण पथ में बहुत पहले होता है। हालाँकि, प्रीडीएनएटी नीतियां आपस में आवेदन के क्रम का सम्मान करती हैं।

प्री-डीएनएटी के साथ नीतियां बनाते समय, उस ट्रैफ़िक के बारे में सावधान रहना महत्वपूर्ण है जिसे आप संसाधित करना चाहते हैं और बहुमत को अस्वीकार करना चाहते हैं। प्री-डीएनएटी नीति में 'अनुमति' के रूप में चिह्नित ट्रैफ़िक को अब होस्टएंडपॉइंट नीति द्वारा जांचा नहीं जाएगा, जबकि प्री-डीएनएटी नीति में विफल होने वाला ट्रैफ़िक शेष श्रृंखलाओं के माध्यम से जारी रहेगा।
केलिको ने प्रीडीएनएटी का उपयोग करते समय अप्लाईऑनफॉरवर्ड विकल्प को सक्षम करना अनिवार्य कर दिया है, क्योंकि परिभाषा के अनुसार ट्रैफ़िक का गंतव्य अभी तक नहीं चुना गया है। ट्रैफ़िक को होस्ट प्रक्रिया की ओर निर्देशित किया जा सकता है, या इसे पॉड या किसी अन्य नोड पर अग्रेषित किया जा सकता है।

ट्रैक न की गई नीति (5)

नेटवर्क और एप्लिकेशन के व्यवहार में बड़े अंतर हो सकते हैं। कुछ चरम मामलों में, एप्लिकेशन कई अल्पकालिक कनेक्शन उत्पन्न कर सकते हैं। इससे कॉनट्रैक (लिनक्स नेटवर्किंग स्टैक का एक मुख्य घटक) की मेमोरी ख़त्म हो सकती है। परंपरागत रूप से, लिनक्स पर इस प्रकार के एप्लिकेशन को चलाने के लिए, आपको कॉनट्रैक को मैन्युअल रूप से कॉन्फ़िगर या अक्षम करना होगा, या कॉनट्रैक को बायपास करने के लिए iptables नियम लिखना होगा। यदि आप कनेक्शन को यथाशीघ्र संसाधित करना चाहते हैं तो केलिको में अनट्रैक्ड पॉलिसी एक सरल और अधिक कुशल विकल्प है। उदाहरण के लिए, यदि आप बड़े पैमाने पर उपयोग करते हैं memcache या इसके विरुद्ध सुरक्षा के एक अतिरिक्त उपाय के रूप में DDOS.

इस पढ़ें ब्लॉग पोस्ट (या हमारा अनुवाद) अधिक जानकारी के लिए, जिसमें ट्रैक न की गई नीति का उपयोग करके प्रदर्शन परीक्षण शामिल हैं।

जब आप कैलिको ग्लोबलनेटवर्कपॉलिसी में "doNotTrack: true" विकल्प सेट करते हैं, तो यह एक **अनट्रैक** पॉलिसी बन जाती है और लिनक्स पैकेट प्रोसेसिंग पाइपलाइन में बहुत पहले ही लागू हो जाती है। ऊपर दिए गए चित्र को देखते हुए, कनेक्शन ट्रैकिंग (कनट्रैक) शुरू होने से पहले कच्ची तालिका में PREROUTING और OUTPUT श्रृंखलाओं में अनट्रैक की गई नीतियां लागू की जाती हैं। जब किसी पैकेट को अनट्रैक्ड नीति द्वारा अनुमति दी जाती है, तो उस पैकेट के लिए कनेक्शन ट्रैकिंग को अक्षम करने के लिए इसे चिह्नित किया जाता है। इसका मतलब है:

अनट्रैक्ड नीति प्रति-पैकेट के आधार पर लागू की जाती है। कनेक्शन (या प्रवाह) की कोई अवधारणा नहीं है। कनेक्शन की कमी के कई महत्वपूर्ण परिणाम होते हैं:
यदि आप अनुरोध और प्रतिक्रिया ट्रैफ़िक दोनों की अनुमति देना चाहते हैं, तो आपको इनबाउंड और आउटबाउंड दोनों के लिए एक नियम की आवश्यकता है (क्योंकि केलिको आमतौर पर प्रतिक्रिया ट्रैफ़िक को अनुमति के रूप में चिह्नित करने के लिए कॉनट्रैक का उपयोग करता है)।
अनट्रैक की गई नीति कुबेरनेट्स वर्कलोड (पॉड्स) के लिए काम नहीं करती है, क्योंकि इस मामले में पॉड से आउटगोइंग कनेक्शन को ट्रैक करने का कोई तरीका नहीं है।
NAT अनट्रैक किए गए पैकेट के साथ सही ढंग से काम नहीं करता है (क्योंकि कर्नेल NAT मैपिंग को कॉनट्रैक में संग्रहीत करता है)।
अनट्रैक की गई नीति में "सभी को अनुमति दें" नियम से गुजरते समय, सभी पैकेट को अनट्रैक के रूप में चिह्नित किया जाएगा। यह लगभग हमेशा वह नहीं होता जो आप चाहते हैं, इसलिए अनट्रैक की गई नीतियों द्वारा अनुमत पैकेटों के बारे में बहुत चयनात्मक होना महत्वपूर्ण है (और अधिकांश ट्रैफ़िक को सामान्य ट्रैक की गई नीतियों के माध्यम से जाने की अनुमति दें)।
अनट्रैक की गई नीतियां पैकेट प्रोसेसिंग पाइपलाइन की शुरुआत में ही लागू की जाती हैं। केलिको नीतियां बनाते समय यह समझना बहुत महत्वपूर्ण है। आपके पास ऑर्डर:1 के साथ एक पॉड पॉलिसी और ऑर्डर:1000 के साथ एक अनट्रैक्ड पॉलिसी हो सकती है। इससे कोई फर्क नहीं पड़ेगा. अनट्रैक्ड पॉलिसी पॉड के लिए पॉलिसी से पहले लागू की जाएगी। ट्रैक न की गई नीतियां केवल आपस में निष्पादन आदेश का सम्मान करती हैं।

क्योंकि doNotTrack नीति का एक उद्देश्य लिनक्स पैकेट प्रोसेसिंग पाइपलाइन में नीति को बहुत पहले से लागू करना है, Calico doNotTrack का उपयोग करते समय applyOnForward विकल्प को निर्दिष्ट करना अनिवार्य बनाता है। पैकेट प्रोसेसिंग आरेख का संदर्भ लेते हुए, ध्यान दें कि अनट्रैक्ड(5) नीति किसी भी रूटिंग निर्णय से पहले लागू की जाती है। ट्रैफ़िक को होस्ट प्रक्रिया की ओर निर्देशित किया जा सकता है, या इसे पॉड या किसी अन्य नोड पर अग्रेषित किया जा सकता है।

परिणाम

हमने केलिको में विभिन्न नीति विकल्पों (होस्ट एंडपॉइंट, अप्लाईऑनफॉरवर्ड, प्रीडीएनएटी, और अनट्रैक्ड) को देखा और उन्हें पैकेट प्रोसेसिंग पथ पर कैसे लागू किया जाता है। यह समझने से कि वे कैसे काम करते हैं, प्रभावी और सुरक्षित नीतियां विकसित करने में मदद मिलती है। केलिको के साथ आप एक वैश्विक नेटवर्क नीति का उपयोग कर सकते हैं जो एक लेबल (नोड्स और पॉड्स का एक समूह) पर लागू होती है और विभिन्न मापदंडों के साथ नीतियां लागू करती है। यह सुरक्षा और नेटवर्क डिज़ाइन पेशेवरों को केलिको नीतियों के साथ एकल नीति भाषा का उपयोग करके एक ही बार में "सब कुछ" (समाप्ति बिंदु प्रकार) की आसानी से सुरक्षा करने की अनुमति देता है।

आभार: मैं धन्यवाद देना चाहूँगा शॉन क्रैम्पटन и एलेक्सा पोलिटा उनकी समीक्षा और बहुमूल्य जानकारी के लिए।

स्रोत: www.habr.com

केलिको के साथ नेटवर्क नीति प्रवर्तन विकल्पों को समझना