ការយល់ដឹងអំពីជម្រើសនៃការអនុវត្តគោលនយោបាយបណ្តាញជាមួយ Calico

កម្មវិធីជំនួយបណ្តាញ Calico ផ្តល់នូវជួរធំទូលាយនៃគោលការណ៍បណ្តាញជាមួយនឹងវាក្យសម្ព័ន្ធបង្រួបបង្រួមដើម្បីការពារម៉ាស៊ីនហាតវែរ ម៉ាស៊ីននិម្មិត និងផត។ គោលការណ៍ទាំងនេះអាចត្រូវបានអនុវត្តនៅក្នុង namespace ឬជាគោលការណ៍បណ្តាញសកលដែលអនុវត្តចំពោះ ចំណុចបញ្ចប់របស់ម៉ាស៊ីន (ដើម្បីការពារកម្មវិធីដែលដំណើរការដោយផ្ទាល់នៅលើម៉ាស៊ីន - ម៉ាស៊ីនអាចជាម៉ាស៊ីនមេ ឬម៉ាស៊ីននិម្មិត) ឬ ចំណុចបញ្ចប់នៃបន្ទុកការងារ (ដើម្បីការពារកម្មវិធីដែលកំពុងដំណើរការក្នុងកុងតឺន័រ ឬម៉ាស៊ីននិម្មិតដែលបានបង្ហោះ)។ គោលការណ៍ Calico អនុញ្ញាតឱ្យអ្នកអនុវត្តវិធានការសុវត្ថិភាពនៅចំណុចផ្សេងៗនៅក្នុងផ្លូវនៃកញ្ចប់ព័ត៌មានដោយប្រើជម្រើសដូចជា preDNAT, unracked និង applyOnForward ។ ការយល់ដឹងពីរបៀបដែលជម្រើសទាំងនេះដំណើរការអាចជួយកែលម្អសុវត្ថិភាព និងដំណើរការនៃប្រព័ន្ធទាំងមូលរបស់អ្នក។ អត្ថបទនេះពន្យល់ពីខ្លឹមសារនៃជម្រើសគោលការណ៍ Calico ទាំងនេះ (preDNAT, unracked និង applyOnForward) ដែលបានអនុវត្តចំពោះចំណុចបញ្ចប់របស់ម៉ាស៊ីន ដោយសង្កត់ធ្ងន់លើអ្វីដែលកើតឡើងនៅក្នុងផ្លូវដំណើរការកញ្ចប់ព័ត៌មាន (ខ្សែសង្វាក់ iptabels)។

អត្ថបទនេះសន្មត់ថាអ្នកមានការយល់ដឹងជាមូលដ្ឋានអំពីរបៀបដែលគោលការណ៍បណ្តាញ Kubernetes និង Calico ដំណើរការ។ បើមិនដូច្នោះទេយើងសូមណែនាំឱ្យសាកល្បងវា។ ការបង្រៀនគោលការណ៍បណ្តាញមូលដ្ឋាន и ការបង្រៀនការពារម៉ាស៊ីន ប្រើ Calico មុនពេលអានអត្ថបទនេះ។ យើងក៏រំពឹងថាអ្នកនឹងមានការយល់ដឹងជាមូលដ្ឋានអំពីការងារនេះ។ iptables នៅក្នុងលីនុច។

កាលីកូ។ គោលនយោបាយបណ្តាញសកល អនុញ្ញាត​ឱ្យ​អ្នក​អនុវត្ត​សំណុំ​នៃ​ច្បាប់​ចូល​ដំណើរ​ការ​ដោយ​ស្លាក (ចំពោះ​ក្រុម​ម៉ាស៊ីន និង​បន្ទុក​ការងារ/ផត)។ វាមានប្រយោជន៍ណាស់ប្រសិនបើអ្នកប្រើប្រព័ន្ធផ្សេងៗគ្នាជាមួយគ្នា - ម៉ាស៊ីននិម្មិត ប្រព័ន្ធដោយផ្ទាល់លើផ្នែករឹង ឬហេដ្ឋារចនាសម្ព័ន្ធ kubernetes ។ លើសពីនេះ អ្នកអាចការពារចង្កោមរបស់អ្នក (ថ្នាំង) ដោយប្រើសំណុំនៃគោលការណ៍ប្រកាស និងអនុវត្តគោលការណ៍បណ្តាញទៅនឹងចរាចរណ៍ចូល (ឧទាហរណ៍ តាមរយៈសេវា NodePorts ឬ IPs ខាងក្រៅ)។

នៅកម្រិតមូលដ្ឋាន នៅពេលដែល Calico ភ្ជាប់ផតមួយទៅបណ្តាញ (សូមមើលដ្យាក្រាមខាងក្រោម) វាភ្ជាប់វាទៅម៉ាស៊ីនដោយប្រើចំណុចប្រទាក់អ៊ីសឺរណិតនិម្មិត (veth) ។ ចរាចរណ៍ដែលបានផ្ញើដោយផតមកដល់ម៉ាស៊ីនពីចំណុចប្រទាក់និម្មិតនេះហើយត្រូវបានដំណើរការតាមរបៀបដូចគ្នានឹងវាមកពីចំណុចប្រទាក់បណ្តាញជាក់ស្តែង។ តាមលំនាំដើម Calico ដាក់ឈ្មោះចំណុចប្រទាក់ទាំងនេះ caliXXX ។ ចាប់តាំងពីចរាចរមកតាមរយៈចំណុចប្រទាក់និម្មិត វាឆ្លងកាត់ iptables ដូចជាប្រសិនបើផតត្រូវបានលោតទៅឆ្ងាយ។ ដូច្នេះហើយ នៅពេលដែលចរាចរណ៍មកដល់/ពីផត វាត្រូវបានបញ្ជូនបន្តពីទស្សនៈរបស់ម្ចាស់ផ្ទះ។

នៅលើថ្នាំង Kubernetes ដែលដំណើរការ Calico អ្នកអាចផ្គូផ្គងចំណុចប្រទាក់និម្មិត (veth) ទៅនឹងបន្ទុកការងារដូចខាងក្រោម។ ក្នុងឧទាហរណ៍ខាងក្រោម អ្នកអាចមើលឃើញថា veth#10 (calic1cbf1ca0f8) ត្រូវបានភ្ជាប់ទៅ cnx-manager-* នៅក្នុង namespace ត្រួតពិនិត្យ calico ។

[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
    link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
    inet6 fe80::ecee:eeff:feee:eeee/64 scope link
       valid_lft forever preferred_lft forever
...

[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m                            ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...

ដោយសារ Calico បង្កើតចំណុចប្រទាក់ veth សម្រាប់បន្ទុកការងារនីមួយៗ តើវាអនុវត្តគោលការណ៍យ៉ាងដូចម្តេច? ដើម្បីធ្វើដូច្នេះ Calico បង្កើតទំពក់នៅក្នុងខ្សែសង្វាក់ផ្សេងៗនៃផ្លូវដំណើរការកញ្ចប់ព័ត៌មានដោយប្រើ iptables ។

ដ្យាក្រាមខាងក្រោមបង្ហាញពីខ្សែសង្វាក់ដែលពាក់ព័ន្ធនឹងដំណើរការកញ្ចប់ព័ត៌មាននៅក្នុង iptables (ឬប្រព័ន្ធរង netfilter) ។ នៅពេលដែលកញ្ចប់ព័ត៌មានមកដល់តាមរយៈចំណុចប្រទាក់បណ្តាញ ដំបូងវាឆ្លងកាត់ខ្សែសង្វាក់ PREROUTING ។ បន្ទាប់មកការសម្រេចចិត្តលើផ្លូវត្រូវបានធ្វើឡើង ហើយផ្អែកលើនេះ កញ្ចប់ព័ត៌មានឆ្លងកាត់ទាំង INPUT (ដឹកនាំទៅកាន់ដំណើរការម៉ាស៊ីន) ឬ FORWARD (តម្រង់ទៅផត ឬថ្នាំងផ្សេងទៀតនៅលើបណ្តាញ)។ ពីដំណើរការក្នុងស្រុក កញ្ចប់ព័ត៌មានឆ្លងកាត់ OUTPUT ហើយបន្ទាប់មក POSTROUTING ខ្សែសង្វាក់ មុនពេលត្រូវបានបញ្ជូនតាមខ្សែ។

ចំណាំថា pod ក៏ជាអង្គភាពខាងក្រៅ (ភ្ជាប់ទៅ veth) នៅក្នុងលក្ខខណ្ឌនៃដំណើរការ iptables ។ សូមសង្ខេប៖

• ចរាចរណ៍​បញ្ជូន​បន្ត (ណាត ផ្លូវ ឬ​ទៅ/ពី​ផត) ឆ្លងកាត់​ច្រវាក់​ការ​បញ្ជូន​បន្ត - បញ្ជូន​បន្ត - ក្រោយ​ការ​បញ្ជូន​បន្ត។
• ចរាចរណ៍ទៅកាន់ដំណើរការម៉ាស៊ីនក្នុងស្រុកឆ្លងកាត់តាមខ្សែសង្វាក់ PREROUTING - INPUT ។
• ចរាចរណ៍ពីដំណើរការម៉ាស៊ីនក្នុងស្រុកឆ្លងកាត់ខ្សែសង្វាក់ OUTPUT - POSTROUTING ។

Calico ផ្តល់ជម្រើសគោលនយោបាយដែលអនុញ្ញាតឱ្យអ្នកអនុវត្តគោលនយោបាយនៅទូទាំងខ្សែសង្វាក់ទាំងអស់។ ដោយគិតក្នុងចិត្តនោះ សូមក្រឡេកមើលជម្រើសនៃការកំណត់រចនាសម្ព័ន្ធគោលការណ៍ផ្សេងៗគ្នាដែលមាននៅក្នុង Calico ។ លេខក្នុងបញ្ជីជម្រើសខាងក្រោមត្រូវគ្នានឹងលេខក្នុងដ្យាក្រាមខាងលើ។

1. គោលការណ៍នៃការបញ្ចប់បន្ទុកការងារ (ផត)
2. គោលការណ៍នៃចំណុចបញ្ចប់របស់ម្ចាស់ផ្ទះ
3. ជម្រើស ApplyOnForward
4. គោលការណ៍ PreDNAT
5. គោលការណ៍មិនតាមដាន

ចូរចាប់ផ្តើមដោយមើលពីរបៀបដែលគោលការណ៍ត្រូវបានអនុវត្តចំពោះចំណុចបញ្ចប់នៃបន្ទុកការងារ (Kubernetes pods ឬ OpenStack VMs) ហើយបន្ទាប់មកមើលជម្រើសគោលការណ៍សម្រាប់ចំណុចបញ្ចប់ម៉ាស៊ីន។

ចំណុចបញ្ចប់នៃបន្ទុកការងារ

គោលការណ៍នៃការបញ្ចប់បន្ទុកការងារ (1)

នេះគឺជាជម្រើសមួយដើម្បីការពារ pods kubernetes របស់អ្នក។ Calico គាំទ្រការធ្វើការជាមួយ Kubernetes NetworkPolicy ប៉ុន្តែវាក៏ផ្តល់នូវគោលការណ៍បន្ថែមផងដែរ - Calico NetworkPolicy និង GlobalNetworkPolicy ។ Calico បង្កើតខ្សែសង្វាក់សម្រាប់ផតនីមួយៗ (បន្ទុកការងារ) និងទំពក់នៅក្នុងខ្សែសង្វាក់ INPUT និង OUTPUT សម្រាប់បន្ទុកការងារទៅកាន់តារាងតម្រងនៃខ្សែសង្វាក់ FORWARD ។

ចំណុចបញ្ចប់របស់ម្ចាស់ផ្ទះ

គោលការណ៍នៃចំណុចបញ្ចប់របស់ម៉ាស៊ីន (2)

បន្ថែមពីលើ CNI (ចំណុចប្រទាក់បណ្តាញកុងតឺន័រ) គោលការណ៍ Calico ផ្តល់នូវសមត្ថភាពក្នុងការការពារម៉ាស៊ីនខ្លួនឯង។ នៅក្នុង Calico អ្នកអាចបង្កើតចំណុចបញ្ចប់របស់ម៉ាស៊ីនដោយបញ្ជាក់ការរួមបញ្ចូលគ្នានៃចំណុចប្រទាក់ម៉ាស៊ីន ហើយបើចាំបាច់ លេខច្រក។ ការអនុវត្តគោលនយោបាយសម្រាប់អង្គភាពនេះត្រូវបានសម្រេចដោយប្រើតារាងតម្រងនៅក្នុងខ្សែសង្វាក់ INPUT និង OUTPUT ។ ដូចដែលអ្នកអាចមើលឃើញពីដ្យាក្រាម (2) ពួកវាអនុវត្តចំពោះដំណើរការមូលដ្ឋាននៅលើថ្នាំង/ម៉ាស៊ីន។ នោះគឺប្រសិនបើអ្នកបង្កើតគោលការណ៍ដែលអនុវត្តចំពោះចំណុចបញ្ចប់របស់ម៉ាស៊ីន វានឹងមិនប៉ះពាល់ដល់ចរាចរណ៍ទៅកាន់/ពីផតរបស់អ្នកទេ។ ប៉ុន្តែវាផ្តល់នូវចំណុចប្រទាក់/វាក្យសម្ព័ន្ធតែមួយសម្រាប់ទប់ស្កាត់ចរាចរណ៍សម្រាប់ម៉ាស៊ីន និងផតរបស់អ្នកដោយប្រើគោលការណ៍ Calico ។ នេះជួយសម្រួលដល់ដំណើរការគ្រប់គ្រងគោលនយោបាយសម្រាប់បណ្តាញចម្រុះ។ ការកំណត់រចនាសម្ព័ន្ធគោលការណ៍នៃចំណុចបញ្ចប់របស់ម៉ាស៊ីនដើម្បីបង្កើនសុវត្ថិភាពចង្កោមគឺជាករណីប្រើប្រាស់ដ៏សំខាន់មួយផ្សេងទៀត។

អនុវត្តគោលការណ៍ OnForward (3)

ជម្រើស ApplyOnForward មាននៅក្នុងគោលការណ៍បណ្តាញសកល Calico ដើម្បីអនុញ្ញាតឱ្យគោលការណ៍ត្រូវបានអនុវត្តចំពោះចរាចរណ៍ទាំងអស់ដែលឆ្លងកាត់ចំណុចបញ្ចប់របស់ម៉ាស៊ីន រួមទាំងចរាចរណ៍ដែលនឹងត្រូវបានបញ្ជូនបន្តដោយម៉ាស៊ីន។ នេះរាប់បញ្ចូលទាំងការបញ្ជូនបន្តទៅកាន់ផតថលក្នុងស្រុក ឬកន្លែងផ្សេងទៀតនៅលើបណ្តាញ។ Calico តម្រូវឱ្យបើកការកំណត់នេះសម្រាប់គោលការណ៍ដោយប្រើ PreDNAT ហើយមិនបានតាមដាន សូមមើលផ្នែកខាងក្រោម។ លើសពីនេះទៀត ApplyOnForward អាចត្រូវបានប្រើដើម្បីត្រួតពិនិត្យចរាចរម៉ាស៊ីននៅក្នុងករណីដែលរ៉ោតទ័រនិម្មិតឬកម្មវិធី NAT ត្រូវបានប្រើ។

ចំណាំថា ប្រសិនបើអ្នកត្រូវអនុវត្តគោលការណ៍បណ្តាញដូចគ្នាទាំងដំណើរការម៉ាស៊ីន និងផត នោះអ្នកមិនចាំបាច់ប្រើជម្រើស ApplyOnForward ទេ។ អ្វីដែលអ្នកត្រូវធ្វើគឺបង្កើតស្លាកសម្រាប់ hostendpoint និង workload endpoint (pod) ដែលត្រូវការ។ Calico មានភាពឆ្លាតវៃគ្រប់គ្រាន់ក្នុងការអនុវត្តគោលការណ៍ដោយផ្អែកលើស្លាក ដោយមិនគិតពីប្រភេទចំណុចបញ្ចប់ (ចំណុចម៉ាស៊ីន ឬបន្ទុកការងារ)។

គោលការណ៍ PreDNAT (4)

នៅក្នុង Kubernetes ច្រកអង្គភាពសេវាកម្មអាចត្រូវបានលាតត្រដាងខាងក្រៅដោយប្រើជម្រើស NodePorts ឬជាជម្រើស (នៅពេលប្រើ Calico) ដោយការផ្សាយពាណិជ្ជកម្មពួកវាដោយប្រើ Cluster IPs ឬជម្រើស IPs ខាងក្រៅ។ Kube-ប្រូកស៊ីធ្វើសមតុល្យចរាចរចូលដែលភ្ជាប់ទៅនឹងសេវាកម្មទៅកាន់ផតនៃសេវាកម្មដែលត្រូវគ្នាដោយប្រើ DNAT ។ អាស្រ័យហេតុនេះ តើអ្នកអនុវត្តគោលនយោបាយសម្រាប់ចរាចរណ៍ដែលចូលមកតាមរយៈ NodePorts យ៉ាងដូចម្តេច? ដើម្បីធានាថាគោលការណ៍ទាំងនេះត្រូវបានអនុវត្តមុនពេលចរាចរត្រូវបានដំណើរការដោយ DNAT (ដែលជាផែនទីរវាងម៉ាស៊ីន: ច្រក និងសេវាកម្មដែលត្រូវគ្នា) Calico ផ្តល់នូវប៉ារ៉ាម៉ែត្រសម្រាប់ globalNetworkPolicy ដែលហៅថា "preDNAT: true" ។

នៅពេលដែលមុន DNAT ត្រូវបានបើក គោលការណ៍ទាំងនេះត្រូវបានអនុវត្តនៅក្នុង (4) នៅក្នុងដ្យាក្រាម - នៅក្នុងតារាង mangle នៃខ្សែសង្វាក់ PREROUTING - ភ្លាមៗមុនពេល DNAT ។ លំដាប់គោលការណ៍ធម្មតាមិនត្រូវបានអនុវត្តនៅទីនេះទេ ដោយសារការអនុវត្តគោលការណ៍ទាំងនេះកើតឡើងមុនច្រើនក្នុងផ្លូវដំណើរការចរាចរណ៍។ ទោះជាយ៉ាងណាក៏ដោយ គោលការណ៍ preDNAT គោរពតាមលំដាប់នៃការអនុវត្តក្នុងចំណោមពួកគេ។

នៅពេលបង្កើតគោលការណ៍ជាមួយ DNAT ជាមុន វាមានសារៈសំខាន់ណាស់ក្នុងការប្រុងប្រយ័ត្នចំពោះចរាចរណ៍ដែលអ្នកចង់ដំណើរការ ហើយអនុញ្ញាតឱ្យភាគច្រើនត្រូវបានបដិសេធ។ ចរាចរណ៍ដែលត្រូវបានសម្គាល់ថា 'អនុញ្ញាត' នៅក្នុងគោលការណ៍មុន DNAT នឹងមិនត្រូវបានត្រួតពិនិត្យដោយគោលការណ៍ hostendpoint ទៀតទេ ខណៈពេលដែលចរាចរណ៍ដែលបរាជ័យនៃគោលការណ៍មុន DNAT នឹងបន្តតាមរយៈខ្សែសង្វាក់ដែលនៅសល់។
Calico បានធ្វើឱ្យវាចាំបាច់ក្នុងការបើកជម្រើស applyOnForward នៅពេលប្រើ preDNAT ចាប់តាំងពីតាមនិយមន័យ ទិសដៅនៃចរាចរណ៍មិនទាន់ត្រូវបានជ្រើសរើសនៅឡើយ។ ចរាចរណ៍អាចត្រូវបានដឹកនាំទៅកាន់ដំណើរការម៉ាស៊ីន ឬវាអាចត្រូវបានបញ្ជូនបន្តទៅកាន់ផត ឬថ្នាំងផ្សេងទៀត។

គោលការណ៍មិនតាមដាន (5)

បណ្តាញ និងកម្មវិធីអាចមានភាពខុសគ្នាធំនៅក្នុងឥរិយាបថ។ ក្នុងករណីធ្ងន់ធ្ងរមួយចំនួន កម្មវិធីអាចបង្កើតការតភ្ជាប់រយៈពេលខ្លីជាច្រើន។ នេះអាចបណ្តាលឱ្យ conntrack (សមាសភាគស្នូលនៃជង់បណ្តាញលីនុច) អស់អង្គចងចាំ។ ជាប្រពៃណី ដើម្បីដំណើរការប្រភេទនៃកម្មវិធីទាំងនេះនៅលើលីនុច អ្នកនឹងត្រូវកំណត់រចនាសម្ព័ន្ធដោយដៃ ឬបិទ conntrack ឬសរសេរច្បាប់ iptables ដើម្បីរំលង conntrack ។ គោលការណ៍ដែលមិនតាមដាននៅក្នុង Calico គឺជាជម្រើសដ៏សាមញ្ញ និងមានប្រសិទ្ធភាពជាង ប្រសិនបើអ្នកចង់ដំណើរការការតភ្ជាប់ឱ្យបានលឿនតាមដែលអាចធ្វើទៅបាន។ ឧទាហរណ៍ប្រសិនបើអ្នកប្រើធំ memcache ឬជាវិធានការការពារបន្ថែម DDOS.

អាននេះ។ ប្រកាសកំណត់ហេតុបណ្ដាញ (ឬ ការបកប្រែរបស់យើង។) សម្រាប់ព័ត៌មានបន្ថែម រួមទាំងការធ្វើតេស្តដំណើរការដោយប្រើប្រាស់គោលការណ៍ដែលមិនបានតាមដាន។

នៅពេលអ្នកកំណត់ជម្រើស "doNotTrack: true" នៅក្នុង Calico globalNetworkPolicy វាក្លាយជាគោលការណ៍ **មិនបានតាមដាន** ហើយត្រូវបានអនុវត្តដំបូងបំផុតនៅក្នុងបំពង់ដំណើរការកញ្ចប់ព័ត៌មានលីនុច។ ក្រឡេកមើលដ្យាក្រាមខាងលើ គោលការណ៍ដែលមិនបានតាមដានត្រូវបានអនុវត្តនៅក្នុងខ្សែសង្វាក់ PREROUTING និង OUTPUT នៅក្នុងតារាងឆៅ មុនពេលការតាមដានការតភ្ជាប់ (conntrack) ត្រូវបានចាប់ផ្តើម។ នៅពេលដែលកញ្ចប់ព័ត៌មានត្រូវបានអនុញ្ញាតដោយគោលការណ៍មិនបានតាមដាន វាត្រូវបានសម្គាល់ដើម្បីបិទការតាមដានការតភ្ជាប់សម្រាប់កញ្ចប់ព័ត៌មាននោះ។ វា​មាន​ន័យ​ថា:

• គោលការណ៍ដែលមិនបានតាមដានត្រូវបានអនុវត្តលើមូលដ្ឋានក្នុងមួយកញ្ចប់។ មិនមានគំនិតនៃការតភ្ជាប់ (ឬលំហូរ) ទេ។ កង្វះទំនាក់ទំនងមានផលវិបាកសំខាន់ៗមួយចំនួន៖
• ប្រសិនបើ​អ្នក​ចង់​អនុញ្ញាត​ទាំង​ការ​ស្នើរ​សុំ​និង​ការ​ឆ្លើយតប អ្នក​ត្រូវ​ការ​ច្បាប់​សម្រាប់​ទាំង​ការ​ចូល​និង​ចេញ​ពី​ក្រៅ​ប្រទេស (ចាប់តាំងពី Calico ជាធម្មតា​ប្រើ conntrack ដើម្បី​សម្គាល់​ចរាចរណ៍​ឆ្លើយតប​ថា​បាន​អនុញ្ញាត)។
• គោលការណ៍ដែលមិនបានតាមដានមិនដំណើរការសម្រាប់បន្ទុកការងារ Kubernetes (ផត) ទេ ពីព្រោះក្នុងករណីនេះមិនមានវិធីដើម្បីតាមដានការតភ្ជាប់ដែលចេញមកពីផតនោះទេ។
• NAT មិនដំណើរការត្រឹមត្រូវជាមួយកញ្ចប់ព័ត៌មានដែលមិនបានតាមដានទេ (ចាប់តាំងពីខឺណែលរក្សាទុកការគូសផែនទី NAT នៅក្នុង conntrack)។
• នៅពេលឆ្លងកាត់ច្បាប់ "អនុញ្ញាតទាំងអស់" នៅក្នុងគោលការណ៍ដែលមិនបានតាមដាន កញ្ចប់ទាំងអស់នឹងត្រូវបានសម្គាល់ថាមិនបានតាមដាន។ នេះស្ទើរតែមិនមែនជាអ្វីដែលអ្នកចង់បាននោះទេ ដូច្នេះវាមានសារៈសំខាន់ណាស់ក្នុងការជ្រើសរើសកញ្ចប់ព័ត៌មានដែលអនុញ្ញាតដោយគោលការណ៍ដែលមិនមានការតាមដាន (និងអនុញ្ញាតឱ្យចរាចរណ៍ភាគច្រើនឆ្លងកាត់គោលការណ៍ដែលបានតាមដានធម្មតា)។
• គោលការណ៍ដែលមិនបានតាមដានត្រូវបានអនុវត្តនៅដើមដំបូងនៃបំពង់ដំណើរការកញ្ចប់ព័ត៌មាន។ នេះមានសារៈសំខាន់ណាស់ក្នុងការយល់ដឹងនៅពេលបង្កើតគោលការណ៍ Calico ។ អ្នកអាចមានគោលការណ៍ pod ជាមួយលំដាប់: 1 និងគោលការណ៍មិនតាមដានជាមួយលំដាប់: 1000 ។ វានឹងមិនមានបញ្ហាទេ។ គោលការណ៍ Untracked នឹងត្រូវបានអនុវត្តមុនពេលគោលនយោបាយសម្រាប់ pod ។ គោលនយោបាយដែលមិនបានតាមដានគោរពតាមលំដាប់ប្រតិបត្តិតែក្នុងចំណោមពួកគេប៉ុណ្ណោះ។

ដោយសារតែគោលបំណងមួយនៃគោលការណ៍ doNotTrack គឺដើម្បីអនុវត្តគោលការណ៍នៅដំណាក់កាលដំបូងនៅក្នុងបំពង់ដំណើរការកញ្ចប់ព័ត៌មានលីនុច Calico ធ្វើឱ្យវាចាំបាច់ដើម្បីបញ្ជាក់ជម្រើស applyOnForward នៅពេលប្រើ doNotTrack ។ យោង​ទៅ​លើ​ដ្យាក្រាម​ដំណើរការ​កញ្ចប់​ព័ត៌មាន សូម​ចំណាំ​ថា​គោលការណ៍​ដែល​មិន​បាន​តាមដាន (5) ត្រូវ​បាន​អនុវត្ត​មុន​ពេល​ការ​សម្រេច​ចិត្ត​ផ្លូវ​ណាមួយ​។ ចរាចរណ៍អាចត្រូវបានដឹកនាំទៅកាន់ដំណើរការម៉ាស៊ីន ឬវាអាចត្រូវបានបញ្ជូនបន្តទៅកាន់ផត ឬថ្នាំងផ្សេងទៀត។

លទ្ធផល

យើងបានពិនិត្យមើលជម្រើសគោលការណ៍ផ្សេងៗ (ចំណុចបញ្ចប់របស់ម៉ាស៊ីន, ApplyOnForward, preDNAT និង Untracked) នៅក្នុង Calico និងរបៀបដែលពួកវាត្រូវបានអនុវត្តតាមផ្លូវដំណើរការកញ្ចប់ព័ត៌មាន។ ការយល់ដឹងពីរបៀបដែលពួកគេធ្វើការជួយក្នុងការបង្កើតគោលនយោបាយប្រកបដោយប្រសិទ្ធភាព និងសុវត្ថិភាព។ ជាមួយ Calico អ្នកអាចប្រើគោលការណ៍បណ្តាញសកលដែលអនុវត្តចំពោះស្លាកមួយ (ក្រុមថ្នាំង និងផត) ហើយអនុវត្តគោលការណ៍ជាមួយប៉ារ៉ាម៉ែត្រផ្សេងៗ។ នេះអនុញ្ញាតឱ្យអ្នកជំនាញផ្នែកសុវត្ថិភាព និងការរចនាបណ្តាញការពារយ៉ាងងាយស្រួល "អ្វីគ្រប់យ៉ាង" (ប្រភេទចំណុចបញ្ចប់) ក្នុងពេលតែមួយដោយប្រើភាសាគោលការណ៍តែមួយជាមួយគោលការណ៍ Calico ។

ការទទួលស្គាល់៖ ខ្ញុំសូមថ្លែងអំណរគុណ លោក Sean Crampton и Alexa Pollitta សម្រាប់ការពិនិត្យ និងព័ត៌មានដ៏មានតម្លៃរបស់ពួកគេ។

ប្រភព: www.habr.com