കാലിക്കോയുമായുള്ള നെറ്റ്‌വർക്ക് പോളിസി ഓപ്ഷനുകൾ മനസ്സിലാക്കുന്നു

ഹാർഡ്‌വെയർ ഹോസ്റ്റുകൾ, വെർച്വൽ മെഷീനുകൾ, പോഡുകൾ എന്നിവ പരിരക്ഷിക്കുന്നതിനായി കാലിക്കോ നെറ്റ്‌വർക്ക് പ്ലഗിൻ ഒരു ഏകീകൃത വാക്യഘടനയുള്ള നെറ്റ്‌വർക്ക് നയങ്ങളുടെ വിപുലമായ ശ്രേണി നൽകുന്നു. ഈ നയങ്ങൾ ഒരു നെയിംസ്‌പെയ്‌സിനുള്ളിൽ പ്രയോഗിക്കാം അല്ലെങ്കിൽ ബാധകമായ ആഗോള നെറ്റ്‌വർക്ക് നയങ്ങളാകാം ഹോസ്റ്റ് എൻഡ് പോയിന്റ് (ഹോസ്റ്റിൽ നേരിട്ട് പ്രവർത്തിക്കുന്ന ആപ്ലിക്കേഷനുകൾ പരിരക്ഷിക്കുന്നതിന് - ഹോസ്റ്റ് ഒരു സെർവറോ വെർച്വൽ മെഷീനോ ആകാം) അല്ലെങ്കിൽ ജോലിഭാരം അവസാന പോയിന്റ് (കണ്ടെയ്‌നറുകളിലോ ഹോസ്റ്റ് ചെയ്‌ത വെർച്വൽ മെഷീനുകളിലോ പ്രവർത്തിക്കുന്ന ആപ്ലിക്കേഷനുകൾ പരിരക്ഷിക്കുന്നതിന്). preDNAT, unraracked, applyOnForward തുടങ്ങിയ ഓപ്ഷനുകൾ ഉപയോഗിച്ച് ഒരു പാക്കറ്റിന്റെ പാതയിലെ വിവിധ പോയിന്റുകളിൽ സുരക്ഷാ നടപടികൾ പ്രയോഗിക്കാൻ കാലിക്കോ പോളിസികൾ നിങ്ങളെ അനുവദിക്കുന്നു. ഈ ഓപ്ഷനുകൾ എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് മനസിലാക്കുന്നത് നിങ്ങളുടെ മൊത്തത്തിലുള്ള സിസ്റ്റത്തിന്റെ സുരക്ഷയും പ്രകടനവും മെച്ചപ്പെടുത്താൻ സഹായിക്കും. പാക്കറ്റ് പ്രോസസ്സിംഗ് പാഥുകളിൽ (iptabels chains) എന്താണ് സംഭവിക്കുന്നത് എന്നതിന് ഊന്നൽ നൽകി, ഹോസ്റ്റ് എൻഡ് പോയിന്റുകളിൽ പ്രയോഗിക്കുന്ന ഈ കാലിക്കോ പോളിസി ഓപ്ഷനുകളുടെ (preDNAT, unraracked and applyOnForward) സാരാംശം ഈ ലേഖനം വിശദീകരിക്കുന്നു.

കുബർനെറ്റസ്, കാലിക്കോ നെറ്റ്‌വർക്ക് നയങ്ങൾ എങ്ങനെ പ്രവർത്തിക്കുന്നു എന്നതിനെക്കുറിച്ച് നിങ്ങൾക്ക് അടിസ്ഥാന ധാരണയുണ്ടെന്ന് ഈ ലേഖനം അനുമാനിക്കുന്നു. ഇല്ലെങ്കിൽ, അത് പരീക്ഷിക്കാൻ ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു അടിസ്ഥാന നെറ്റ്‌വർക്ക് പോളിസി ട്യൂട്ടോറിയൽ и ഹോസ്റ്റ് പ്രൊട്ടക്ഷൻ ട്യൂട്ടോറിയൽ ഈ ലേഖനം വായിക്കുന്നതിന് മുമ്പ് കാലിക്കോ ഉപയോഗിച്ച്. ജോലിയെക്കുറിച്ച് നിങ്ങൾക്ക് അടിസ്ഥാനപരമായ ധാരണയുണ്ടാകുമെന്നും ഞങ്ങൾ പ്രതീക്ഷിക്കുന്നു iptables ലിനക്സിൽ.

കാലികോ ആഗോള നെറ്റ്‌വർക്ക് നയം ലേബലുകൾ വഴി ഒരു കൂട്ടം ആക്സസ് നിയമങ്ങൾ പ്രയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു (ഹോസ്റ്റുകളുടെയും വർക്ക്ലോഡുകളുടെയും/പോഡുകളുടെയും ഗ്രൂപ്പുകളിലേക്ക്). നിങ്ങൾ വൈവിധ്യമാർന്ന സിസ്റ്റങ്ങൾ ഒരുമിച്ച് ഉപയോഗിക്കുകയാണെങ്കിൽ ഇത് വളരെ ഉപയോഗപ്രദമാണ് - വെർച്വൽ മെഷീനുകൾ, നേരിട്ട് ഹാർഡ്‌വെയറിലുള്ള ഒരു സിസ്റ്റം അല്ലെങ്കിൽ ഒരു കുബർനെറ്റസ് ഇൻഫ്രാസ്ട്രക്ചർ. കൂടാതെ, ഒരു കൂട്ടം ഡിക്ലറേറ്റീവ് പോളിസികൾ ഉപയോഗിച്ച് നിങ്ങൾക്ക് നിങ്ങളുടെ ക്ലസ്റ്റർ (നോഡുകൾ) പരിരക്ഷിക്കാനും ഇൻകമിംഗ് ട്രാഫിക്കിലേക്ക് നെറ്റ്‌വർക്ക് നയങ്ങൾ പ്രയോഗിക്കാനും കഴിയും (ഉദാഹരണത്തിന്, NodePorts അല്ലെങ്കിൽ External IPs സേവനം വഴി).

അടിസ്ഥാന തലത്തിൽ, കാലിക്കോ ഒരു പോഡ് നെറ്റ്‌വർക്കിലേക്ക് ബന്ധിപ്പിക്കുമ്പോൾ (ചുവടെയുള്ള ഡയഗ്രം കാണുക), ഒരു വെർച്വൽ ഇഥർനെറ്റ് ഇന്റർഫേസ് (veth) ഉപയോഗിച്ച് അത് ഹോസ്റ്റുമായി ബന്ധിപ്പിക്കുന്നു. പോഡ് അയയ്‌ക്കുന്ന ട്രാഫിക് ഈ വെർച്വൽ ഇന്റർഫേസിൽ നിന്ന് ഹോസ്റ്റിലേക്ക് വരുന്നു, അത് ഒരു ഫിസിക്കൽ നെറ്റ്‌വർക്ക് ഇന്റർഫേസിൽ നിന്ന് വന്നതുപോലെ തന്നെ പ്രോസസ്സ് ചെയ്യുന്നു. സ്ഥിരസ്ഥിതിയായി, കാലിക്കോ ഈ ഇന്റർഫേസുകൾക്ക് caliXXX എന്ന് പേരിടുന്നു. ട്രാഫിക് വെർച്വൽ ഇന്റർഫേസിലൂടെ വരുന്നതിനാൽ, പോഡ് ഒരു ചാട്ടം അകലെയാണെന്ന മട്ടിൽ അത് iptables വഴി പോകുന്നു. അതിനാൽ, ഒരു പോഡിലേക്ക്/അതിൽ നിന്ന് ട്രാഫിക് വരുമ്പോൾ, അത് ഹോസ്റ്റിന്റെ വീക്ഷണകോണിൽ നിന്ന് ഫോർവേഡ് ചെയ്യപ്പെടും.

കാലിക്കോയിൽ പ്രവർത്തിക്കുന്ന ഒരു കുബർനെറ്റസ് നോഡിൽ, നിങ്ങൾക്ക് ഒരു വെർച്വൽ ഇന്റർഫേസ് (veth) ഇനിപ്പറയുന്ന രീതിയിൽ ഒരു ജോലിഭാരത്തിലേക്ക് മാപ്പ് ചെയ്യാൻ കഴിയും. ചുവടെയുള്ള ഉദാഹരണത്തിൽ, കാലിക്കോ മോണിറ്ററിംഗ് നെയിംസ്‌പെയ്‌സിൽ cnx-manager-* എന്നതിലേക്ക് veth#10 (calic1cbf1ca0f8) കണക്‌റ്റ് ചെയ്‌തിരിക്കുന്നതായി നിങ്ങൾക്ക് കാണാൻ കഴിയും.

[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
    link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
    inet6 fe80::ecee:eeff:feee:eeee/64 scope link
       valid_lft forever preferred_lft forever
...

[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m                            ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...

ഓരോ ജോലിഭാരത്തിനും കാലിക്കോ ഒരു വെത്ത് ഇന്റർഫേസ് സൃഷ്ടിക്കുന്നതിനാൽ, അത് എങ്ങനെയാണ് നയങ്ങൾ നടപ്പിലാക്കുന്നത്? ഇത് ചെയ്യുന്നതിന്, കാലിക്കോ iptables ഉപയോഗിച്ച് പാക്കറ്റ് പ്രോസസ്സിംഗ് പാതയുടെ വിവിധ ശൃംഖലകളിൽ കൊളുത്തുകൾ സൃഷ്ടിക്കുന്നു.

iptables (അല്ലെങ്കിൽ netfilter സബ്സിസ്റ്റം) ലെ പാക്കറ്റ് പ്രോസസ്സിംഗിൽ ഉൾപ്പെട്ടിരിക്കുന്ന ശൃംഖലകൾ ചുവടെയുള്ള ഡയഗ്രം കാണിക്കുന്നു. ഒരു നെറ്റ്‌വർക്ക് ഇന്റർഫേസിലൂടെ ഒരു പാക്കറ്റ് എത്തുമ്പോൾ, അത് ആദ്യം പോകുന്നത് PREROUTING ചെയിനിലൂടെയാണ്. പിന്നീട് ഒരു റൂട്ടിംഗ് തീരുമാനം എടുക്കുന്നു, ഇതിനെ അടിസ്ഥാനമാക്കി, പാക്കറ്റ് INPUT (ഹോസ്റ്റ് പ്രോസസുകളിലേക്ക് നയിക്കുന്നത്) അല്ലെങ്കിൽ ഫോർവേഡ് (ഒരു പോഡിലേക്കോ നെറ്റ്‌വർക്കിലെ മറ്റൊരു നോഡിലേക്കോ നയിക്കുന്നു) വഴി കടന്നുപോകുന്നു. പ്രാദേശിക പ്രക്രിയയിൽ നിന്ന്, കേബിൾ അയയ്‌ക്കുന്നതിന് മുമ്പ് പാക്കറ്റ് ഔട്ട്‌പുട്ടിലൂടെയും പിന്നീട് പോസ്‌ട്രോട്ടിംഗ് ചെയിനിലൂടെയും പോകുന്നു.

iptables പ്രോസസ്സിംഗിന്റെ കാര്യത്തിൽ പോഡ് ഒരു ബാഹ്യ എന്റിറ്റി (veth-ലേക്ക് ബന്ധിപ്പിച്ചിരിക്കുന്നു) കൂടിയാണ് എന്നത് ശ്രദ്ധിക്കുക. നമുക്ക് സംഗ്രഹിക്കാം:

• ഫോർവേഡഡ് ട്രാഫിക് (നാറ്റ്, റൂട്ട്ഡ് അല്ലെങ്കിൽ ഒരു പോഡിലേക്ക്/നിന്ന്) PREROUTING - Forward - POSTROUTING ശൃംഖലകളിലൂടെ കടന്നുപോകുന്നു.
• ലോക്കൽ ഹോസ്റ്റ് പ്രക്രിയയിലേക്കുള്ള ട്രാഫിക് PREROUTING - INPUT ചെയിൻ വഴി കടന്നുപോകുന്നു.
• പ്രാദേശിക ഹോസ്റ്റ് പ്രക്രിയയിൽ നിന്നുള്ള ട്രാഫിക് ഔട്ട്പുട്ട് - POSTROUTING ശൃംഖലയിലൂടെ കടന്നുപോകുന്നു.

എല്ലാ ശൃംഖലകളിലും നയങ്ങൾ പ്രയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന പോളിസി ഓപ്ഷനുകൾ കാലിക്കോ നൽകുന്നു. അത് മനസ്സിൽ വെച്ചുകൊണ്ട്, കാലിക്കോയിൽ ലഭ്യമായ വിവിധ പോളിസി കോൺഫിഗറേഷൻ ഓപ്ഷനുകൾ നോക്കാം. ചുവടെയുള്ള ഓപ്ഷനുകളുടെ ലിസ്റ്റിലെ അക്കങ്ങൾ മുകളിലുള്ള ഡയഗ്രാമിലെ അക്കങ്ങളുമായി പൊരുത്തപ്പെടുന്നു.

1. വർക്ക്ലോഡ് എൻഡ്‌പോയിന്റ് (പോഡ്) നയം
2. ഹോസ്റ്റ് എൻഡ്‌പോയിന്റ് പോളിസി
3. ApplyOnForward ഓപ്ഷൻ
4. PreDNAT നയം
5. ട്രാക്ക് ചെയ്യാത്ത നയം

വർക്ക്‌ലോഡ് എൻഡ്‌പോയിന്റുകൾക്ക് (കുബർനെറ്റസ് പോഡുകൾ അല്ലെങ്കിൽ ഓപ്പൺസ്റ്റാക്ക് വിഎം) പോളിസികൾ എങ്ങനെ പ്രയോഗിക്കുന്നുവെന്ന് നോക്കാം, തുടർന്ന് ഹോസ്റ്റ് എൻഡ്‌പോയിന്റുകൾക്കായുള്ള പോളിസി ഓപ്‌ഷനുകൾ നോക്കാം.

ജോലിഭാരത്തിന്റെ അവസാന പോയിന്റുകൾ

വർക്ക് ലോഡ് എൻഡ്‌പോയിന്റ് പോളിസി (1)

നിങ്ങളുടെ കുബർനെറ്റസ് പോഡുകൾ സംരക്ഷിക്കുന്നതിനുള്ള ഒരു ഓപ്ഷനാണിത്. കുബെർനെറ്റസ് നെറ്റ്‌വർക്ക് പോളിസിയുമായി പ്രവർത്തിക്കാൻ കാലിക്കോ പിന്തുണയ്ക്കുന്നു, എന്നാൽ ഇത് അധിക നയങ്ങളും നൽകുന്നു - കാലിക്കോ നെറ്റ്‌വർക്ക് പോളിസിയും ഗ്ലോബൽ നെറ്റ്‌വർക്ക് പോളിസിയും. കാലിക്കോ ഓരോ പോഡിനും (ജോലിഭാരം) ഒരു ചെയിൻ സൃഷ്‌ടിക്കുകയും വർക്ക് ലോഡിനായി INPUT, OUTPUT ശൃംഖലകളിൽ ഹുക്ക് ചെയ്യുകയും ഫോർവേഡ് ചെയിനിന്റെ ഫിൽട്ടർ ടേബിളിലേക്ക് മാറ്റുകയും ചെയ്യുന്നു.

ഹോസ്റ്റ് എൻഡ് പോയിന്റുകൾ

ഹോസ്റ്റ് എൻഡ്‌പോയിന്റ് പോളിസി (2)

CNI (കണ്ടെയ്‌നർ നെറ്റ്‌വർക്ക് ഇന്റർഫേസ്) കൂടാതെ, കാലിക്കോ പോളിസികൾ ഹോസ്റ്റിനെ തന്നെ സംരക്ഷിക്കാനുള്ള കഴിവ് നൽകുന്നു. കാലിക്കോയിൽ, ഹോസ്റ്റ് ഇന്റർഫേസിന്റെയും ആവശ്യമെങ്കിൽ പോർട്ട് നമ്പറുകളുടെയും സംയോജനം വ്യക്തമാക്കി നിങ്ങൾക്ക് ഒരു ഹോസ്റ്റ് എൻഡ്‌പോയിന്റ് സൃഷ്‌ടിക്കാനാകും. INPUT, OUTPUT ശൃംഖലകളിലെ ഒരു ഫിൽട്ടർ ടേബിൾ ഉപയോഗിച്ചാണ് ഈ എന്റിറ്റിയുടെ നയം നടപ്പിലാക്കുന്നത്. ഡയഗ്രാമിൽ നിന്ന് നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, (2) നോഡ്/ഹോസ്റ്റിലെ പ്രാദേശിക പ്രക്രിയകൾക്ക് അവ ബാധകമാണ്. അതായത്, നിങ്ങൾ ഹോസ്റ്റ് എൻഡ്‌പോയിന്റിന് ബാധകമായ ഒരു നയം സൃഷ്‌ടിക്കുകയാണെങ്കിൽ, അത് നിങ്ങളുടെ പോഡുകളിലേക്കുള്ള/ പോകുന്ന ട്രാഫിക്കിനെ ബാധിക്കില്ല. എന്നാൽ കാലിക്കോ നയങ്ങൾ ഉപയോഗിച്ച് നിങ്ങളുടെ ഹോസ്റ്റിനും പോഡുകൾക്കുമുള്ള ട്രാഫിക് തടയുന്നതിന് ഇത് ഒരൊറ്റ ഇന്റർഫേസ്/വാക്യഘടന നൽകുന്നു. ഇത് ഒരു വൈവിധ്യമാർന്ന നെറ്റ്‌വർക്കിനായുള്ള നയങ്ങൾ കൈകാര്യം ചെയ്യുന്ന പ്രക്രിയയെ വളരെ ലളിതമാക്കുന്നു. ക്ലസ്റ്റർ സുരക്ഷ വർദ്ധിപ്പിക്കുന്നതിനായി ഹോസ്റ്റ് എൻഡ്‌പോയിന്റ് നയങ്ങൾ ക്രമീകരിക്കുന്നത് മറ്റൊരു പ്രധാന ഉപയോഗമാണ്.

അപേക്ഷഓൺഫോർവേഡ് നയം (3)

ഹോസ്റ്റ് ഫോർവേഡ് ചെയ്യുന്ന ട്രാഫിക് ഉൾപ്പെടെ, ഹോസ്റ്റ് എൻഡ് പോയിന്റിലൂടെ കടന്നുപോകുന്ന എല്ലാ ട്രാഫിക്കിലും നയങ്ങൾ പ്രയോഗിക്കാൻ അനുവദിക്കുന്നതിന് ApplyOnForward ഓപ്ഷൻ കാലിക്കോ ഗ്ലോബൽ നെറ്റ്‌വർക്ക് പോളിസിയിൽ ലഭ്യമാണ്. ലോക്കൽ പോഡിലേക്കോ നെറ്റ്‌വർക്കിൽ മറ്റെവിടെയെങ്കിലുമോ കൈമാറുന്ന ട്രാഫിക്കും ഇതിൽ ഉൾപ്പെടുന്നു. PreDNAT ഉപയോഗിക്കുന്ന നയങ്ങൾക്കായി ഈ ക്രമീകരണം പ്രവർത്തനക്ഷമമാക്കാനും ട്രാക്ക് ചെയ്യപ്പെടാതിരിക്കാനും കാലിക്കോ ആവശ്യപ്പെടുന്നു, ഇനിപ്പറയുന്ന വിഭാഗങ്ങൾ കാണുക. കൂടാതെ, ഒരു വെർച്വൽ റൂട്ടർ അല്ലെങ്കിൽ സോഫ്റ്റ്‌വെയർ NAT ഉപയോഗിക്കുന്ന സന്ദർഭങ്ങളിൽ ഹോസ്റ്റ് ട്രാഫിക് നിരീക്ഷിക്കാൻ ApplyOnForward ഉപയോഗിക്കാം.

ഹോസ്റ്റ് പ്രോസസ്സുകൾക്കും പോഡുകൾക്കും ഒരേ നെറ്റ്‌വർക്ക് നയം പ്രയോഗിക്കണമെങ്കിൽ, നിങ്ങൾ ApplyOnForward ഓപ്ഷൻ ഉപയോഗിക്കേണ്ടതില്ല എന്നത് ശ്രദ്ധിക്കുക. ആവശ്യമായ ഹോസ്റ്റെൻഡ് പോയിന്റിനും വർക്ക്ലോഡ് എൻഡ് പോയിന്റിനും (പോഡ്) ഒരു ലേബൽ സൃഷ്‌ടിച്ചാൽ മതി. എൻഡ്‌പോയിന്റ് തരം (ഹോസ്റ്റെൻഡ്‌പോയിന്റ് അല്ലെങ്കിൽ വർക്ക്‌ലോഡ്) പരിഗണിക്കാതെ, ലേബലുകളെ അടിസ്ഥാനമാക്കി നയം നടപ്പിലാക്കാൻ കാലിക്കോ മിടുക്കനാണ്.

PreDNAT നയം (4)

Kubernetes-ൽ, സേവന സ്ഥാപന പോർട്ടുകൾ NodePorts ഓപ്ഷൻ ഉപയോഗിച്ചോ ഓപ്ഷണലായി (Calico ഉപയോഗിക്കുമ്പോൾ) ക്ലസ്റ്റർ IP-കൾ അല്ലെങ്കിൽ ബാഹ്യ IP-കൾ ഓപ്ഷനുകൾ ഉപയോഗിച്ച് പരസ്യം ചെയ്യുന്നതിലൂടെ ബാഹ്യമായി തുറന്നുകാട്ടാവുന്നതാണ്. ക്യൂബ്-പ്രോക്‌സി ഡിഎൻഎടി ഉപയോഗിച്ച് അനുബന്ധ സേവനത്തിന്റെ പോഡുകളിലേക്കുള്ള ഒരു സേവനവുമായി ബന്ധപ്പെട്ട ഇൻകമിംഗ് ട്രാഫിക് ബാലൻസ് ചെയ്യുന്നു. ഇത് കണക്കിലെടുക്കുമ്പോൾ, NodePorts വഴി വരുന്ന ട്രാഫിക്കിനുള്ള നയങ്ങൾ നിങ്ങൾ എങ്ങനെയാണ് നടപ്പിലാക്കുന്നത്? ട്രാഫിക് DNAT (ഹോസ്റ്റ്: പോർട്ടും അനുബന്ധ സേവനവും തമ്മിലുള്ള മാപ്പിംഗ് ആണ്) പ്രോസസ്സ് ചെയ്യപ്പെടുന്നതിന് മുമ്പ് ഈ നയങ്ങൾ ബാധകമാണെന്ന് ഉറപ്പാക്കാൻ, ആഗോള നെറ്റ്‌വർക്ക് പോളിസിക്ക് "preDNAT: true" എന്ന് വിളിക്കുന്ന ഒരു പാരാമീറ്റർ Calico നൽകുന്നു.

പ്രീ-ഡിഎൻഎടി പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ, ഈ നയങ്ങൾ (4) ഡയഗ്രാമിൽ - പ്രെറൂട്ടിംഗ് ചെയിനിന്റെ മാംഗിൾ ടേബിളിൽ - ഡിഎൻഎടിക്ക് തൊട്ടുമുമ്പ്. ട്രാഫിക് പ്രോസസ്സിംഗ് പാതയിൽ ഈ നയങ്ങളുടെ പ്രയോഗം വളരെ നേരത്തെ തന്നെ സംഭവിക്കുന്നതിനാൽ, നയങ്ങളുടെ സാധാരണ ക്രമം ഇവിടെ പാലിക്കപ്പെടുന്നില്ല. എന്നിരുന്നാലും, preDNAT നയങ്ങൾ പരസ്പരം അപേക്ഷിക്കുന്ന ക്രമത്തെ മാനിക്കുന്നു.

പ്രീ-ഡി‌എൻ‌എ‌ടി ഉപയോഗിച്ച് നയങ്ങൾ സൃഷ്‌ടിക്കുമ്പോൾ, നിങ്ങൾ പ്രോസസ്സ് ചെയ്യാൻ ആഗ്രഹിക്കുന്ന ട്രാഫിക്കിനെക്കുറിച്ച് ശ്രദ്ധാലുവായിരിക്കുകയും ഭൂരിപക്ഷം നിരസിക്കാൻ അനുവദിക്കുകയും ചെയ്യേണ്ടത് പ്രധാനമാണ്. പ്രീ-ഡിഎൻഎടി പോളിസിയിൽ 'അനുവദിക്കുന്നു' എന്ന് അടയാളപ്പെടുത്തിയിരിക്കുന്ന ട്രാഫിക്ക് ഇനി ഹോസ്റ്റെൻഡ്പോയിന്റ് പോളിസി പരിശോധിക്കില്ല, അതേസമയം ഡിഎൻഎടിക്ക് മുമ്പുള്ള നയം പരാജയപ്പെടുന്ന ട്രാഫിക് ശേഷിക്കുന്ന ശൃംഖലകളിലൂടെ തുടരും.
നിർവചനം അനുസരിച്ച് ട്രാഫിക്കിന്റെ ലക്ഷ്യസ്ഥാനം ഇതുവരെ തിരഞ്ഞെടുത്തിട്ടില്ലാത്തതിനാൽ, preDNAT ഉപയോഗിക്കുമ്പോൾ ApplyOnForward ഓപ്‌ഷൻ പ്രവർത്തനക്ഷമമാക്കുന്നത് കാലിക്കോ നിർബന്ധമാക്കിയിരിക്കുന്നു. ട്രാഫിക് ഹോസ്റ്റ് പ്രോസസ്സിലേക്ക് നയിക്കാം, അല്ലെങ്കിൽ അത് ഒരു പോഡിലേക്കോ മറ്റൊരു നോഡിലേക്കോ കൈമാറാം.

ട്രാക്ക് ചെയ്യാത്ത നയം (5)

നെറ്റ്‌വർക്കുകൾക്കും ആപ്ലിക്കേഷനുകൾക്കും സ്വഭാവത്തിൽ വലിയ വ്യത്യാസങ്ങൾ ഉണ്ടാകാം. ചില അങ്ങേയറ്റത്തെ സന്ദർഭങ്ങളിൽ, ആപ്ലിക്കേഷനുകൾ നിരവധി ഹ്രസ്വകാല കണക്ഷനുകൾ സൃഷ്ടിച്ചേക്കാം. ഇത് കോൺട്രാക്ക് (ലിനക്സ് നെറ്റ്‌വർക്കിംഗ് സ്റ്റാക്കിന്റെ ഒരു പ്രധാന ഘടകം) മെമ്മറി തീരുന്നതിന് കാരണമാകും. പരമ്പരാഗതമായി, ലിനക്സിൽ ഇത്തരത്തിലുള്ള ആപ്ലിക്കേഷനുകൾ പ്രവർത്തിപ്പിക്കുന്നതിന്, നിങ്ങൾ കോൺട്രാക്ക് സ്വമേധയാ കോൺഫിഗർ ചെയ്യുകയോ പ്രവർത്തനരഹിതമാക്കുകയോ ചെയ്യണം, അല്ലെങ്കിൽ കോൺട്രാക്ക് മറികടക്കാൻ iptables നിയമങ്ങൾ എഴുതുക. നിങ്ങൾക്ക് കഴിയുന്നത്ര വേഗത്തിൽ കണക്ഷനുകൾ പ്രോസസ്സ് ചെയ്യണമെങ്കിൽ കാലിക്കോയിലെ ട്രാക്ക് ചെയ്യാത്ത നയം ലളിതവും കൂടുതൽ കാര്യക്ഷമവുമായ ഓപ്ഷനാണ്. ഉദാഹരണത്തിന്, നിങ്ങൾ വൻതോതിൽ ഉപയോഗിക്കുകയാണെങ്കിൽ memcache അല്ലെങ്കിൽ അതിനെതിരായ സംരക്ഷണത്തിന്റെ അധിക അളവുകോലായി DDOS.

ഇത് വായിക്കുക ബ്ലോഗ് പോസ്റ്റ് (അല്ലെങ്കിൽ ഞങ്ങളുടെ വിവർത്തനം) ട്രാക്ക് ചെയ്യാത്ത നയം ഉപയോഗിച്ചുള്ള പ്രകടന പരിശോധനകൾ ഉൾപ്പെടെയുള്ള കൂടുതൽ വിവരങ്ങൾക്ക്.

നിങ്ങൾ കാലിക്കോ ഗ്ലോബൽ നെറ്റ്‌വർക്ക് പോളിസിയിൽ "doNotTrack: true" ഓപ്ഷൻ സജ്ജീകരിക്കുമ്പോൾ, അത് ഒരു **ട്രാക്ക് ചെയ്യപ്പെടാത്ത** നയമായി മാറുകയും Linux പാക്കറ്റ് പ്രോസസ്സിംഗ് പൈപ്പ്‌ലൈനിൽ വളരെ നേരത്തെ തന്നെ പ്രയോഗിക്കുകയും ചെയ്യുന്നു. മുകളിലെ ഡയഗ്രം നോക്കുമ്പോൾ, കണക്ഷൻ ട്രാക്കിംഗ് (കൺട്രാക്ക്) ആരംഭിക്കുന്നതിന് മുമ്പ്, റോ ടേബിളിലെ PREROUTING, OUTPUT ശൃംഖലകളിൽ ട്രാക്ക് ചെയ്യാത്ത നയങ്ങൾ പ്രയോഗിക്കുന്നു. ട്രാക്ക് ചെയ്യാത്ത നയം ഒരു പാക്കറ്റ് അനുവദിക്കുമ്പോൾ, ആ പാക്കറ്റിനായി കണക്ഷൻ ട്രാക്കിംഗ് പ്രവർത്തനരഹിതമാക്കാൻ അത് അടയാളപ്പെടുത്തുന്നു. അതിന്റെ അർത്ഥം:

• ട്രാക്ക് ചെയ്യാത്ത നയം ഓരോ പാക്കറ്റിനും അടിസ്ഥാനത്തിലാണ് പ്രയോഗിക്കുന്നത്. കണക്ഷൻ (അല്ലെങ്കിൽ ഒഴുക്ക്) എന്ന ആശയം ഇല്ല. കണക്ഷനുകളുടെ അഭാവം നിരവധി പ്രധാന പ്രത്യാഘാതങ്ങൾ ഉണ്ടാക്കുന്നു:
• നിങ്ങൾക്ക് അഭ്യർത്ഥനയും പ്രതികരണ ട്രാഫിക്കും അനുവദിക്കണമെങ്കിൽ, ഇൻബൗണ്ടിനും ഔട്ട്‌ബൗണ്ടിനും നിങ്ങൾക്ക് ഒരു നിയമം ആവശ്യമാണ് (പ്രതികരണ ട്രാഫിക്കിനെ അനുവദനീയമാണെന്ന് അടയാളപ്പെടുത്താൻ കാലിക്കോ സാധാരണയായി കോൺട്രാക്ക് ഉപയോഗിക്കുന്നതിനാൽ).
• ട്രാക്ക് ചെയ്യാത്ത നയം Kubernetes വർക്ക്ലോഡുകൾക്ക് (പോഡുകൾ) പ്രവർത്തിക്കില്ല, കാരണം ഈ സാഹചര്യത്തിൽ പോഡിൽ നിന്ന് ഔട്ട്ഗോയിംഗ് കണക്ഷൻ ട്രാക്ക് ചെയ്യാൻ ഒരു മാർഗവുമില്ല.
• ട്രാക്ക് ചെയ്യാത്ത പാക്കറ്റുകളിൽ NAT ശരിയായി പ്രവർത്തിക്കുന്നില്ല (കേർണൽ NAT മാപ്പിംഗ് കോൺട്രാക്കിൽ സംഭരിക്കുന്നതിനാൽ).
• ട്രാക്ക് ചെയ്യാത്ത നയത്തിലെ "എല്ലാം അനുവദിക്കുക" എന്ന നിയമത്തിലൂടെ കടന്നുപോകുമ്പോൾ, എല്ലാ പാക്കറ്റുകളും ട്രാക്ക് ചെയ്യാത്തതായി അടയാളപ്പെടുത്തും. ഇത് മിക്കവാറും എല്ലായ്‌പ്പോഴും നിങ്ങൾ ആഗ്രഹിക്കുന്നതല്ല, അതിനാൽ ട്രാക്ക് ചെയ്യാത്ത പോളിസികൾ അനുവദിക്കുന്ന പാക്കറ്റുകളെ കുറിച്ച് വളരെ സെലക്ടീവ് ആയിരിക്കേണ്ടത് പ്രധാനമാണ് (കൂടാതെ സാധാരണ ട്രാക്ക് ചെയ്‌ത നയങ്ങളിലൂടെ കടന്നുപോകാൻ മിക്ക ട്രാഫിക്കും അനുവദിക്കുക).
• ട്രാക്ക് ചെയ്യാത്ത നയങ്ങൾ പാക്കറ്റ് പ്രോസസ്സിംഗ് പൈപ്പ്ലൈനിന്റെ തുടക്കത്തിൽ തന്നെ പ്രയോഗിക്കുന്നു. കാലിക്കോ നയങ്ങൾ സൃഷ്ടിക്കുമ്പോൾ ഇത് മനസ്സിലാക്കേണ്ടത് വളരെ പ്രധാനമാണ്. നിങ്ങൾക്ക് ഓർഡർ:1 ഉള്ള ഒരു പോഡ് പോളിസിയും ഓർഡർ: 1000 ഉള്ള ട്രാക്ക് ചെയ്യാത്ത പോളിസിയും സ്വന്തമാക്കാം. സാരമില്ല. പോഡിന്റെ പോളിസിക്ക് മുമ്പ് ട്രാക്ക് ചെയ്യാത്ത നയം പ്രയോഗിക്കും. ട്രാക്ക് ചെയ്യപ്പെടാത്ത നയങ്ങൾ നിർവ്വഹണ ക്രമത്തെ അവർക്കിടയിൽ മാത്രം മാനിക്കുന്നു.

ലിനക്സ് പാക്കറ്റ് പ്രോസസ്സിംഗ് പൈപ്പ്ലൈനിൽ വളരെ നേരത്തെ തന്നെ നയം നടപ്പിലാക്കുക എന്നതാണ് doNotTrack നയത്തിന്റെ ഉദ്ദേശ്യങ്ങളിലൊന്ന് എന്നതിനാൽ, doNotTrack ഉപയോഗിക്കുമ്പോൾ ApplyOnForward ഓപ്ഷൻ വ്യക്തമാക്കുന്നത് കാലിക്കോ നിർബന്ധമാക്കുന്നു. പാക്കറ്റ് പ്രോസസ്സിംഗ് ഡയഗ്രം പരാമർശിച്ച്, ഏതെങ്കിലും റൂട്ടിംഗ് തീരുമാനങ്ങൾക്ക് മുമ്പായി ട്രാക്ക് ചെയ്യാത്ത(5) നയം ബാധകമാണെന്ന് ശ്രദ്ധിക്കുക. ട്രാഫിക് ഹോസ്റ്റ് പ്രോസസ്സിലേക്ക് നയിക്കാം, അല്ലെങ്കിൽ അത് ഒരു പോഡിലേക്കോ മറ്റൊരു നോഡിലേക്കോ കൈമാറാം.

ഫലങ്ങൾ

കാലിക്കോയിലെ വിവിധ പോളിസി ഓപ്‌ഷനുകളും (ഹോസ്റ്റ് എൻഡ്‌പോയിന്റ്, ApplyOnForward, preDNAT, അൺട്രാക്ക്ഡ്) എന്നിവയും പാക്കറ്റ് പ്രോസസ്സിംഗ് പാതയിൽ അവ എങ്ങനെ പ്രയോഗിക്കുന്നുവെന്നും ഞങ്ങൾ പരിശോധിച്ചു. അവ എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് മനസ്സിലാക്കുന്നത് ഫലപ്രദവും സുരക്ഷിതവുമായ നയങ്ങൾ വികസിപ്പിക്കുന്നതിന് സഹായിക്കുന്നു. കാലിക്കോ ഉപയോഗിച്ച് നിങ്ങൾക്ക് ഒരു ലേബലിന് (നോഡുകളുടെയും പോഡുകളുടെയും ഒരു കൂട്ടം) ബാധകമായ ഒരു ആഗോള നെറ്റ്‌വർക്ക് നയം ഉപയോഗിക്കാനും വിവിധ പാരാമീറ്ററുകളുള്ള നയങ്ങൾ പ്രയോഗിക്കാനും കഴിയും. Calico പോളിസികൾക്കൊപ്പം ഒരൊറ്റ പോളിസി ഭാഷ ഉപയോഗിച്ച് ഒരേസമയം "എല്ലാം" (എൻഡ്‌പോയിന്റ് തരങ്ങൾ) സൗകര്യപ്രദമായി പരിരക്ഷിക്കാൻ ഇത് സുരക്ഷാ, നെറ്റ്‌വർക്ക് ഡിസൈൻ പ്രൊഫഷണലുകളെ അനുവദിക്കുന്നു.

അംഗീകാരം: ഞാൻ നന്ദി പറയാൻ ആഗ്രഹിക്കുന്നു സീൻ ക്രാംപ്ടൺ и അലക്സാ പോളിറ്റ അവരുടെ അവലോകനത്തിനും വിലപ്പെട്ട വിവരങ്ങൾക്കും.

അവലംബം: www.habr.com