Plugin retis Calico amplis agendi modum retis praebet cum syntaxi unificato ad armamenta ferraria tutanda, machinis virtualis et siliquis. Hae rationes in spatio nominali applicari possunt vel rationes retis globalis applicari possunt (protegere applicationes directe in exercitum - hospes esse potest servo vel apparatus virtualis) vel (ad protegere applicationes currens in vasis vel machinis virtualis hosted). Calico consilia permittunt te securitatem mensuras variis in locis adhibere in scriptione viae utendi optiones ut preDNAT, inexpeditas, et applica OnForward. Intellegere quomodo hae optiones operari possint adiuvare ad securitatem et observantiam altioris systematis tui melioris. Articulus hic explicat essentiam harum optionum Calico- rum (preDNAT, inexpeditas et applicareOnForward) applicata ad fines exercitus, cum emphasi quod fit in viis processus (iptabels catenis).
Articulus hic supponit te habere intellectum fundamentalem quomodo Kubernetes et Calico rationes retis operantur. Sin minus, commendamus conatur и utens Calico ante hunc articulum legere. Nos quoque expecto te habere basic intellectus operis in linux.
Calico sino vos apponere regulas accessus per pittacia (coetibus exercituum et laboribus/sliquis). Hoc valde utile est si systemata heterogenea simul - machinis virtualis uteris, systema directe in ferramentis vel infrastructura kubernetes. Praeterea botrum (nodis) tueri potes utentes certae rationes declarativae ac rationes retis adhibere ad mercaturam ineuntes (exempli gratia, per NodePorts vel IPs externi muneris).
In gradu fundamentali, cum Calico vasculum retis coniungit (vide diagramma infra), eam cum exercitui usu virtuali interfaciei Aer (veth). Negotiatio a vasculo missa ab hoc interface virtuali ad exercitum venit et eodem modo processit ac si ex retis corporeis interface venerat. Defalta Calico nominat has valvas caliXXX. Cum negotiatio per interfaciem virtualem venit, per iptables it quasi vasculum unum salit. Cum ergo negotiatio ad/ex vasculo venit, ex parte hostiae transmittitur.
In nodo Kubernetes Calico currente, virtualem interfaciem (veth) ad quod inposuit sic describi potes. In exemplo infra, videre potes quod veth#10 (calic1cbf1ca0f8) coniungitur cum procuratori cnx* in spatio spatii calico-magnationis.
[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
inet6 fe80::ecee:eeff:feee:eeee/64 scope link
valid_lft forever preferred_lft forever
...
[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...
Dato quod Calico veth interfacies pro unoquoque inposuit facit, quomodo consilia urget? Ad hoc faciendum, Calico hamos varias nexibus fasciculi processus gignit iter iptables utens.
Tabula infra ostendit catenas quae in fasciculo processui in iptables (vel subsystem retiale). Cum fasciculus per interfaciem retis advenit, primum per catenam preroutationem percurrit. Decisione fuso deinde facta est, et in hoc fundata, fasciculus transit vel INPUT (ad processuum exercitum directus) vel ANTE (ad folliculum vel alium nodi in retis directum). Ex processu locali, fasciculum per OUTPUT vadit et postea catenam POSTROUTING antequam funem demissa est.
Nota vasculum etiam esse ens externum (connexum cum veth) in processui iptabilium terminorum. Summatim:
- Negotiatio transmissa (nat, fuso vel / ex vasculo) transit per vincla PRROUTING - PRAE - POSTROUTING vincula.
- Negotiatio ad processum castrorum localem transit per catenam PREROUTING - INPUT.
- Negotiatio e processu castrorum locali per OUTPUT - catena POSTROUTING vadit.
Calico consilium optiones praebet, quae te per omnes catenas consiliis adhibere sinunt. Hoc animo inspiciamus varias rationes conformationis bene quae in Calico praesto sunt. Numeri in indice optionum infrascripti respondent numeris in schemate supra.
- Workload endpoint (vasculum) consilium
- Exercitum endpoint consilium
- ApplyOnForward optionem
- PreDNAT Policy
- Untracked Policy
Incipiamus a inspectione quomodo consilia applicantur ad terminos inposuit (Kubernetes siliquas vel OpenStack VMs), et tunc inspice consilia optionum ad fines exercitus.
Quod inposuit Endpoints
Workload Endpoint Policy (I)
Haec optio siliquas kubernetes tueatur. Calico adiuvat cum Kubernetes NetworkPolicy laborat, sed etiam addit consilia - Calico NetworkPolicy et GlobalNetworkPolicy. Calico catenam pro singulis vasculis (inposuit) et uncinos in input et OUTPUT catenas creat ad quod inposuit ad mensam sparguntur catenae anterioris.
Exercitum Endpoints
Host Endpoint Policy (2)
Praeter CNI (retis interface continentis), Calico consilia facultatem ad ipsum exercitum tuendum praebent. In Calico, exercitum limitem creare potes designando compositionem interfaciei exercitus et, si opus est, numeros portus. Exactio exactionis huius entitatis effectum est utens mensa filtra in catenis in input et REFERO. Ut videre potes ex icone, (2) processibus localibus in nodi/hostia applicant. Hoc est, si consilium quod ad exercitum finem pertinet, negotiatio/e siliquis tuis non afficiet. Sed unum medium / syntaxin praebet ad interclusionem negotiationis tuae hospitii et leguminis utentibus Calico rationibus. Hoc valde simpliciorem facit processum agendi pro retis heterogeneis administrandi. Exercitum designandi figurans consilia augendae securitatis botri augendae est alius casus momenti usus.
ApplyOnForward Policy (III)
Optionem ApplyOnForward in calico globalis retis consilium praesto est ut consilia ad omnia negotia pertranseuntes per limitem exercitum, incluso mercatura quae ab hospite transmittantur, applicari sinat. Haec includit negotiatio ad vasculum locale vel alibi in ornatum. Calico hanc occasum requirit ut de PreDNAT et incomprehensibilis consiliis usus possit, sectiones sequentes vide. Praeterea ApplyOnForward adhiberi potest ad mercaturam monitorem hospitis in casibus in quibus virtualis itineris seu programmatis NAT adhibetur.
Nota quod si opus est ad utrumque exercitum processibus et siliquis idem consilium adhibere, tunc non opus est optione ApplyOnForward uti. Omnes facere debes pittacium creare pro hostendpoint requisito et quod inposuit endpoint (vasculum). Calico satis callidum est ad urgere consilium in pittaciis, cuiuscumque ementiti generis (hostendium vel quod inposuit).
PreDNAT Policy (4)
In Kubernetes, servitium entitatis portuum exterius exponi potest utens optione NodePorts vel, optionally (cum utendo Calico), vendendo eos utendo clustro IPs vel IPSs optionibus externis. Kube-proxy stateram mercaturae advenientis tenetur ad servitutem siliquis servitii respondentis DNAT utendi. Dato hoc, quomodo rationes mercaturae per NodePortas exigis? Ut hae rationes applicantur antequam negotiatio a DNAT (quae est destinatio inter exercitum: portum et servitium respondentem), Calico modulum praebet pro globalNetworkPolicy vocato "preDNAT: verum".
Cum prae-DNAT permittit, hae rationes in schemate perficiuntur (IV) in tabula — in tabula lanificii catenae preroutandae — proxime ante DNAT. Solus ordo consiliorum hic non sequitur, cum applicatio horum consiliorum multo ante in via negotiationis processui occurrat. Sed preDNAT consilia ordinem applicationis inter se observant.
Cum rationes pre-DNAT creando, magni momenti est ut de negotiatione quae vis processura caveat et plures reiciendos permittat. Negotiatio designata ut 'permittit' in prae-DNAT consilio a consilio hostendi diutius non erit, cum negotiatio quae consilium prae-DNAT deficit per reliquas catenas permanebit.
Calico mandatum fecit ut optionem adhibereOnForward cum preDNAT utendo efficeret, cum per definitionem destinationis negotiationis nondum electa est. Negotiatio ad processum militiae dirigi potest, vel ad vasculum vel ad alium nodi transmittantur.
Untracked Policy (5)
Networks et applicationes magnas morum differentias habere possunt. In quibusdam casibus extremis, applicationes multas breves coniunctiones generare possunt. Hoc potest causare conntrack (coro componentis in ACERVUS Linux retis) ut e memoria excurrat. Traditionaliter, ut huiusmodi applicationum in Linux currere debeas, manually configurare vel disable contrahere, vel regulas iptas scribere ut conntramentum praeterire debeas. Consilium in Calico praetermissum est optio simplicior et efficacior si nexus quam celerrime procedere vis. Exempli gratia, si molem uteris aut in modum praesidii in additional .
Lege hoc (aut ) pro magis informatione, inter probationes perficiendas utentes consilio inremisso.
Cum "doNotTrack: verum" optionem in Calico globalNetworkPolicy constituis, fit inexercitatum consilium et valde mane applicatur in fasciculo Linux processus pipelini. Respiciens ad schematis supra, consilia sine arte applicantur in vinclis praereis et REFERO in tabula rudis ante connexionem vestiendi (conntrack) incohata. Cum fasciculus a consilio inremisso conceditur, notatur ut nexum inactivandi vestigatio illius fasciculi notetur. Significat:
- Consilium intractabile in per- vecte basis applicatur. Nulla notio nexus (vel fluxus). Defectus nexuum varias consectarias magni momenti habet:
- Si vis et postulationem et responsionem negotiationis permittere, regula indiges tam inligato quam obstricto (quoniam Calico typice utitur conntrack ad notam responsionis negotiationis pro licito).
- Incomprehensibile consilium Kubernetes laboribus (siliquis) non operatur, quia in hoc casu nullo modo exitu nexum e vasculo indagare est.
- NAT non recte untratis fasciculis laborat (quia nucleus NAT destinata in conntrack reponit).
- Cum transiens per "omnia" regulam in inexercitato consilio transiens, omnes fasciculi inexercitati notabuntur. Hoc fere semper non est quod vis, ideo Gravis est valde selectivam de facis permissis consiliis ignaris (et permittit plurima negotiatio ire per rationes normales investigabiles).
- Politiae indetractatae primo ipso principio fasciculi processui pipeline applicantur. Hoc magni momenti est intelligere cum lobortis lobortis creando Calico. Vasculum consilium habere potes cum ordine:1 et inexercitatum consilium cum ordine:1000. Non refert. Consilium intractabile ante consilium vasculi applicabitur. Politiae ignarae observant ordinem executionis tantum inter se.
Quia unus e consiliorum consiliorum doNotTrack urgere est consilium in ipso primo in Linux fasciculi processui pipelini, Calico id facit ut mandatarium applicandi optionis applicandi cum doNotTrack utatur. Referendo ad fasciculum processus schematis, notandum quod intractata(5) consilium applicari ante aliquas decisiones excitandas. Negotiatio ad processum militiae dirigi potest, vel ad vasculum vel ad alium nodi transmittantur.
results
Inspeximus varias rationes consiliorum (extremum exercitum, ApplyOnForward, preDNAT, et Untracked) in Calico et quomodo applicantur per viam processus fasciculi. Intellectus quomodo operantur subsidia ad efficacia et tuta consilia promovenda. Cum Calico, consilio retis globalis uti potes, quod pittacium (coetus nodi et siliquae) applicat et consilia variis parametris applicas. Hoc consilium securitatis et retis doctorum permittit ut "omnia" (singulas terminus designans) semel utatur uno consilio lingua cum Calico initis.
Agnitio: vellem agere и ad eorum recensionem ac perutile notitia.
Source: www.habr.com