Разбирање на опциите за спроведување на мрежни политики со Calico

Мрежниот приклучок Calico обезбедува широк опсег на мрежни политики со унифицирана синтакса за заштита на хардверски хостови, виртуелни машини и подлоги. Овие политики може да се применат во именски простор или да бидат глобални мрежни политики што се однесуваат на крајна точка на домаќинот (за заштита на апликациите што работат директно на домаќинот - домаќинот може да биде сервер или виртуелна машина) или крајна точка на обемот на работа (за заштита на апликациите што работат во контејнери или хостирани виртуелни машини). Политиките на Calico ви дозволуваат да примените безбедносни мерки на различни точки на патеката на пакетот користејќи опции како што се preDNAT, unraracked и applyOnForward. Разбирањето како функционираат овие опции може да помогне да се подобрат безбедноста и перформансите на вашиот целокупен систем. Оваа статија ја објаснува суштината на овие опции за политика на Calico (preDNAT, unraracked и applyOnForward) применети на крајните точки на домаќинот, со акцент на она што се случува во патеките за обработка на пакети (иптабелс синџири).

Оваа статија претпоставува дека имате основно разбирање за тоа како функционираат мрежните политики на Kubernetes и Calico. Ако не, препорачуваме да го пробате основно упатство за мрежна политика и упатство за заштита на домаќинот користење на Calico пред да ја прочитате оваа статија. Исто така, очекуваме да имате основно разбирање за работата iptables во Линукс.

Американ глобална мрежна политика ви овозможува да примените збир на правила за пристап по етикети (на групи на домаќини и оптоварувања/подови). Ова е многу корисно ако користите хетерогени системи заедно - виртуелни машини, систем директно на хардвер или инфраструктура kubernetes. Дополнително, можете да го заштитите вашиот кластер (јазли) користејќи збир на декларативни политики и да примените мрежни политики за дојдовниот сообраќај (на пример, преку услугата NodePorts или надворешни IP-адреси).

На фундаментално ниво, кога Calico поврзува pod со мрежата (види дијаграм подолу), го поврзува со домаќинот користејќи виртуелен етернет интерфејс (veth). Сообраќајот испратен од подлогата доаѓа до домаќинот од овој виртуелен интерфејс и се обработува на ист начин како да доаѓа од физички мрежен интерфејс. Стандардно, Calico ги именува овие интерфејси caliXXX. Бидејќи сообраќајот доаѓа преку виртуелниот интерфејс, тој минува низ iptables како подот да е еден скок подалеку. Затоа, кога сообраќајот доаѓа до/од pod, тој се препраќа од гледна точка на домаќинот.

На јазол Kubernetes кој работи Calico, можете да мапирате виртуелен интерфејс (veth) на обемот на работа на следниов начин. Во примерот подолу, можете да видите дека veth#10 (calic1cbf1ca0f8) е поврзан со cnx-manager-* во именскиот простор за следење на калико.

[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
    link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
    inet6 fe80::ecee:eeff:feee:eeee/64 scope link
       valid_lft forever preferred_lft forever
...

[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m                            ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...

Со оглед на тоа што Calico создава veth интерфејс за секој обем на работа, како ги спроведува политиките? За да го направите ова, Calico создава куки во различни синџири на патеката за обработка на пакети користејќи iptables.

Дијаграмот подолу ги прикажува синџирите вклучени во обработката на пакети во iptables (или потсистемот netfilter). Кога пакетот пристигнува преку мрежен интерфејс, тој прво поминува низ синџирот PREROUTING. Потоа се донесува одлука за рутирање, и врз основа на тоа, пакетот поминува или преку INPUT (насочен кон процесите на домаќинот) или FORWARD (насочен кон pod или друг јазол на мрежата). Од локалниот процес, пакетот минува низ синџирот OUTPUT, а потоа ПОСТРОУТИРАЊЕ пред да биде испратен низ кабелот.

Забележете дека pod е исто така надворешен ентитет (поврзан со veth) во однос на обработката на iptables. Да резимираме:

• Препратениот сообраќај (нат, насочуван или до/од подлога) поминува низ синџирите ПРЕПРОУТИНГ - НАПРЕД - ПОСТОРУТИРАЊЕ.
• Сообраќајот до локалниот процес на домаќин поминува низ синџирот PREROUTING - ВЛЕЗ.
• Сообраќајот од локалниот процес на домаќин оди преку синџирот OUTPUT - POSTROUTING.

Calico обезбедува опции за политики што ви дозволуваат да применувате политики низ сите синџири. Имајќи го тоа на ум, ајде да ги погледнеме различните опции за конфигурација на политиката достапни во Calico. Броевите во списокот со опции подолу одговараат на броевите од дијаграмот погоре.

1. Политика за крајна точка на оптоварување на работа (под).
2. Политика на крајната точка на домаќинот
3. Опција ApplyOnForward
4. Политика на PreDNAT
5. Неследена политика

Да почнеме со разгледување на тоа како се применуваат политиките на крајните точки на оптоварување (Kubernetes pods или OpenStack VMs), а потоа погледнете ги опциите за политики за крајните точки на домаќинот.

Крајни точки на оптоварување

Политика за крајна точка на оптоварување на работа (1)

Ова е опција за заштита на вашите kubernetes pods. Calico поддржува работа со Kubernetes NetworkPolicy, но обезбедува и дополнителни политики - Calico NetworkPolicy и GlobalNetworkPolicy. Calico создава синџир за секоја подлога (обем на работа) и ги закачува синџирите ВЛЕЗ и ИЗЛЕЗ за обемот на работа на табелата за филтрирање на синџирот НАПРЕД.

Крајни точки на домаќинот

Политика на крајната точка на домаќинот (2)

Покрај CNI (мрежен интерфејс за контејнери), политиките на Calico обезбедуваат можност за заштита на самиот домаќин. Во Calico, можете да креирате крајна точка на домаќинот со наведување на комбинација од интерфејсот на домаќинот и, доколку е потребно, броеви на порти. Спроведувањето на политиката за овој ентитет се постигнува со помош на табела за филтри во синџирите ВЛЕЗ и ИЗЛЕЗ. Како што можете да видите од дијаграмот, (2) тие се применуваат на локални процеси на јазолот/домаќинот. Односно, ако креирате политика што се однесува на крајната точка на домаќинот, тоа нема да влијае на сообраќајот што оди до/од вашите подлоги. Но, тој обезбедува единствен интерфејс/синтакса за блокирање на сообраќајот за вашиот домаќин и подлогите користејќи ги политиките на Calico. Ова во голема мера го поедноставува процесот на управување со политики за хетерогена мрежа. Конфигурирањето на политиките за крајна точка на домаќинот за подобрување на безбедноста на кластерот е уште еден важен случај на употреба.

Политика ApplyOnForward (3)

Опцијата ApplyOnForward е достапна во глобалната мрежна политика на Calico за да се овозможи примена на политики за целиот сообраќај што минува низ крајната точка на домаќинот, вклучувајќи го и сообраќајот што ќе биде проследен од домаќинот. Ова го вклучува сообраќајот проследен до локалната подлога или на кое било друго место на мрежата. Calico бара оваа поставка да биде овозможена за политики кои користат PreDNAT и не се следат, видете ги следните делови. Дополнително, ApplyOnForward може да се користи за следење на сообраќајот на домаќинот во случаи кога се користи виртуелен рутер или софтвер NAT.

Забележете дека ако треба да ја примените истата мрежна политика и за процесите на домаќинот и за подлогите, тогаш не треба да ја користите опцијата ApplyOnForward. Сè што треба да направите е да креирате ознака за потребната точка на домаќинот и крајната точка на обемот на работа (под). Calico е доволно паметен за да спроведе политика заснована на етикети, без оглед на типот на крајната точка (домаќинска точка или обем на работа).

Политика на PreDNAT (4)

Во Kubernetes, портите на ентитетите на услугата може да се изложат надворешно со користење на опцијата NodePorts или, опционално (кога се користи Calico), со рекламирање со користење на опциите Cluster IP или надворешни IP. Kube-прокси го балансира дојдовниот сообраќај поврзан со услугата до подлогите на соодветната услуга користејќи DNAT. Со оглед на ова, како ги спроведувате политиките за сообраќај што доаѓа преку NodePorts? За да се осигури дека овие политики се применуваат пред сообраќајот да биде обработен од DNAT (што е мапирање помеѓу домаќин:порт и соодветната услуга), Calico обезбедува параметар за глобалнатаМрежнаПолитика наречен „preDNAT: точно“.

Кога е овозможено pre-DNAT, овие политики се имплементирани во (4) на дијаграмот - во табелата за магли на ланецот PREROUTING - непосредно пред DNAT. Овде не се следи вообичаениот редослед на политики, бидејќи примената на овие политики се случува многу порано во патеката за обработка на сообраќајот. Сепак, политиките на preDNAT го почитуваат редоследот на примена меѓу себе.

Кога креирате политики со пред-DNAT, важно е да бидете внимателни за сообраќајот што сакате да го обработите и да дозволите мнозинството да биде отфрлено. Сообраќајот означен како „дозволи“ во политиката за пред-DNAT веќе нема да се проверува од политиката на хостентната точка, додека сообраќајот што не ја исполнува политиката пред ДНАТ ќе продолжи низ преостанатите синџири.
Calico го направи задолжително да се овозможи опцијата applyOnForward кога се користи preDNAT, бидејќи по дефиниција сè уште не е избрана дестинацијата на сообраќајот. Сообраќајот може да се насочи кон процесот на домаќинот, или може да се пренасочи до под или друг јазол.

Неследена политика (5)

Мрежите и апликациите може да имаат големи разлики во однесувањето. Во некои екстремни случаи, апликациите може да генерираат многу краткотрајни врски. Ова може да предизвика conntrack (главна компонента на мрежниот оџак Linux) да остане без меморија. Традиционално, за да ги извршите овие типови апликации на Linux, ќе треба рачно да го конфигурирате или оневозможите contrack, или да напишете правила на iptables за да го заобиколите conntrack. Неследената политика во Calico е поедноставна и поефикасна опција доколку сакате да ги обработувате врските што е можно побрзо. На пример, ако користите масивни мемкеш или како дополнителна мерка на заштита од DDOS.

Прочитај го ова блог пост (Или нашиот превод) за повеќе информации, вклучително и тестови за изведба со користење на политиката што не е следена.

Кога ќе ја поставите опцијата „doNotTrack: true“ во Calico globalNetworkPolicy, таа станува **неследена** политика и се применува многу рано во линијата за обработка на пакети на Linux. Гледајќи го дијаграмот погоре, непроверените политики се применуваат во синџирите PREROUTING и OUTPUT во необработената табела пред да започне следењето на конекцијата (conntrack). Кога пакетот е дозволен со политиката за неследена, тој е означен да го оневозможи следењето на врската за тој пакет. Тоа значи:

• Неследената политика се применува на база по пакет. Не постои концепт на поврзување (или проток). Недостатокот на врски има неколку важни последици:
• Ако сакате да дозволите сообраќај со барања и одговор, ви треба правило и за влезен и за излез (бидејќи Calico обично користи conntrack за да го означи сообраќајот за одговор како дозволен).
• Неследената политика не работи за работните оптоварувања на Kubernetes (pods), бидејќи во овој случај не постои начин да се следи појдовната врска од подлогата.
• NAT не работи правилно со неследени пакети (бидејќи кернелот го складира NAT мапирањето во conntrack).
• Кога поминувате низ правилото „дозволи сите“ во политиката за неследено, сите пакети ќе бидат означени како непроверени. Ова речиси секогаш не е она што го сакате, па затоа е важно да бидете многу селективни за пакетите дозволени со неследените политики (и да дозволите најголемиот дел од сообраќајот да поминува низ нормални политики за следење).
• Неследените политики се применуваат на самиот почеток на цевководот за обработка на пакети. Ова е многу важно да се разбере кога се креираат политики на Calico. Може да имате полиса за pod со ред:1 и непроследена политика со ред:1000. Нема да биде важно. Политиката Untracked ќе се применува пред правилото за подлогата. Неследените политики го почитуваат налогот за извршување само меѓу себе.

Бидејќи една од целите на политиката doNotTrack е да ја спроведе политиката многу рано во линијата за обработка на пакети на Linux, Calico го прави задолжително назначувањето на опцијата applyOnForward кога се користи doNotTrack. Осврнувајќи се на дијаграмот за обработка на пакети, забележете дека политиката за untracked(5) се применува пред какви било одлуки за рутирање. Сообраќајот може да се насочи кон процесот на домаќинот, или може да се пренасочи до под или друг јазол.

Резултатите од

Ги разгледавме различните опции за политика (Host endpoint, ApplyOnForward, preDNAT и Untracked) во Calico и како тие се применуваат по патеката за обработка на пакети. Разбирањето како тие функционираат помага во развојот на ефективни и безбедни политики. Со Calico можете да користите глобална мрежна политика што се однесува на етикета (група јазли и подлоги) и да применувате политики со различни параметри. Ова им овозможува на професионалците за безбедност и мрежен дизајн лесно да заштитат „сè“ (видови на крајна точка) одеднаш користејќи единствен јазик на политиката со политиките на Calico.

Признание: Би сакал да се заблагодарам Шон Крамптон и Алекса Полита за нивниот преглед и вредни информации.

Извор: www.habr.com