🥇 कॅलिको सह नेटवर्क धोरण पर्याय समजून घेणे

कॅलिको नेटवर्क प्लगइन हार्डवेअर होस्ट, व्हर्च्युअल मशीन आणि पॉड्सचे संरक्षण करण्यासाठी युनिफाइड सिंटॅक्ससह नेटवर्क पॉलिसींची विस्तृत श्रेणी प्रदान करते. ही धोरणे नेमस्पेसमध्ये लागू केली जाऊ शकतात किंवा लागू होणारी जागतिक नेटवर्क धोरणे असू शकतात होस्ट एंडपॉइंट (थेट होस्टवर चालू असलेल्या ऍप्लिकेशन्सचे संरक्षण करण्यासाठी - होस्ट सर्व्हर किंवा व्हर्च्युअल मशीन असू शकते) किंवा वर्कलोड एंडपॉइंट (कंटेनरमध्ये किंवा होस्ट केलेल्या व्हर्च्युअल मशीनमध्ये चालणाऱ्या ऍप्लिकेशन्सचे संरक्षण करण्यासाठी). कॅलिको पॉलिसी तुम्हाला प्रीडीएनएटी, अनरॅक्ड आणि अप्लायऑन फॉरवर्ड सारख्या पर्यायांचा वापर करून पॅकेटच्या मार्गावरील विविध बिंदूंवर सुरक्षा उपाय लागू करण्याची परवानगी देतात. हे पर्याय कसे कार्य करतात हे समजून घेणे तुमच्या संपूर्ण सिस्टमची सुरक्षा आणि कार्यप्रदर्शन सुधारण्यात मदत करू शकते. हा लेख या कॅलिको पॉलिसी पर्यायांचे सार स्पष्ट करतो (preDNAT, unraracked आणि applyOnForward) होस्ट एंडपॉइंट्सवर लागू केले जातात, पॅकेट प्रोसेसिंग पाथ (iptabels चेन) मध्ये काय होते यावर जोर देऊन.

हा लेख असे गृहीत धरतो की कुबर्नेट्स आणि कॅलिको नेटवर्क धोरणे कशी कार्य करतात याची आपल्याला मूलभूत माहिती आहे. नसल्यास, आम्ही प्रयत्न करण्याची शिफारस करतो मूलभूत नेटवर्क धोरण ट्यूटोरियल и होस्ट संरक्षण ट्यूटोरियल हा लेख वाचण्यापूर्वी कॅलिको वापरणे. तुम्हाला कामाची प्राथमिक माहिती असणे अपेक्षित आहे iptables लिनक्स मध्ये.

केलिको जागतिक नेटवर्क धोरण तुम्हाला लेबलांद्वारे प्रवेश नियमांचा संच लागू करण्याची अनुमती देते (होस्ट आणि वर्कलोड्स/पॉड्सच्या गटांसाठी). हे खूप उपयुक्त आहे जर तुम्ही विषम प्रणाली एकत्र वापरत असाल - व्हर्च्युअल मशीन्स, थेट हार्डवेअरवर सिस्टम, किंवा कुबर्नेट्स इन्फ्रास्ट्रक्चर. याव्यतिरिक्त, तुम्ही घोषणात्मक धोरणांचा संच वापरून तुमच्या क्लस्टरचे (नोड्स) संरक्षण करू शकता आणि येणार्‍या रहदारीवर (उदाहरणार्थ, नोडपोर्ट्स किंवा बाह्य IPs सेवेद्वारे) नेटवर्क धोरणे लागू करू शकता.

मूलभूत स्तरावर, जेव्हा कॅलिको पॉडला नेटवर्कशी जोडते (खालील आकृती पहा), तेव्हा ते व्हर्च्युअल इथरनेट इंटरफेस (वेथ) वापरून होस्टशी जोडते. पॉडद्वारे पाठवलेला ट्रॅफिक या व्हर्च्युअल इंटरफेसमधून होस्टकडे येतो आणि एखाद्या भौतिक नेटवर्क इंटरफेसमधून आल्याप्रमाणेच त्यावर प्रक्रिया केली जाते. डीफॉल्टनुसार, कॅलिको या इंटरफेसना कॅलीएक्सएक्सएक्स नाव देते. ट्रॅफिक व्हर्च्युअल इंटरफेसद्वारे येत असल्याने, पॉड एक हॉप दूर असल्यासारखे ते iptables मधून जाते. म्हणून, जेव्हा पॉडवर/वरून रहदारी येते, तेव्हा ते होस्टच्या दृष्टिकोनातून पुढे पाठवले जाते.

कॅलिको चालवणाऱ्या कुबर्नेट्स नोडवर, तुम्ही खालीलप्रमाणे वर्च्युअल इंटरफेस (वेथ) मॅप करू शकता. खालील उदाहरणामध्ये, तुम्ही पाहू शकता की veth#10 (calic1cbf1ca0f8) कॅलिको-मॉनिटरिंग नेमस्पेसमध्ये cnx-manager-* शी कनेक्ट केलेले आहे.

[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
    link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
    inet6 fe80::ecee:eeff:feee:eeee/64 scope link
       valid_lft forever preferred_lft forever
...

[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m                            ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...

कॅलिको प्रत्येक वर्कलोडसाठी वेथ इंटरफेस तयार करते हे लक्षात घेता, ते धोरणांची अंमलबजावणी कशी करते? हे करण्यासाठी, कॅलिको iptables वापरून पॅकेट प्रक्रिया मार्गाच्या विविध साखळींमध्ये हुक तयार करते.

खालील आकृती iptables (किंवा नेटफिल्टर उपप्रणाली) मध्ये पॅकेट प्रक्रियेत गुंतलेली साखळी दाखवते. जेव्हा नेटवर्क इंटरफेसद्वारे पॅकेट येते, तेव्हा ते प्रथम PREROUTING साखळीतून जाते. त्यानंतर राउटिंगचा निर्णय घेतला जातो आणि त्यावर आधारित, पॅकेट एकतर INPUT (प्रक्रिया होस्ट करण्यासाठी निर्देशित) किंवा फॉरवर्ड (नेटवर्कवरील पॉड किंवा अन्य नोडकडे निर्देशित) मधून जाते. स्थानिक प्रक्रियेतून, पॅकेट केबल खाली पाठवण्यापूर्वी OUTPUT आणि नंतर POSTROUTING साखळीतून जाते.

लक्षात घ्या की पॉड देखील iptables प्रक्रियेच्या दृष्टीने एक बाह्य अस्तित्व (veth शी जोडलेले) आहे. चला सारांश द्या:

फॉरवर्डेड ट्रॅफिक (नॅट, रूट केलेले किंवा पॉडवरून/पॉडवरून) प्रीरूटिंग - फॉरवर्ड - पोस्टरोटिंग चेनमधून जाते.
स्थानिक यजमान प्रक्रियेकडे जाणारी वाहतूक PREROUTING - INPUT साखळीतून जाते.
स्थानिक यजमान प्रक्रियेतील रहदारी OUTPUT - POSTROUTING साखळीतून जाते.

कॅलिको पॉलिसी पर्याय प्रदान करते जे तुम्हाला सर्व साखळींवर पॉलिसी लागू करू देते. हे लक्षात घेऊन, कॅलिकोमध्ये उपलब्ध असलेले विविध पॉलिसी कॉन्फिगरेशन पर्याय पाहू. खालील पर्यायांच्या सूचीतील संख्या वरील आकृतीमधील संख्यांशी संबंधित आहेत.

वर्कलोड एंडपॉइंट (पॉड) धोरण
होस्ट एंडपॉइंट धोरण
ApplyOnForward पर्याय
PreDNAT धोरण
अनट्रॅक केलेले धोरण

वर्कलोड एंडपॉइंट्स (कुबर्नेट्स पॉड्स किंवा ओपनस्टॅक व्हीएम) वर धोरणे कशी लागू केली जातात ते बघून सुरुवात करू आणि नंतर होस्ट एंडपॉइंट्ससाठी धोरण पर्याय पाहू.

वर्कलोड एंडपॉइंट्स

वर्कलोड एंडपॉइंट पॉलिसी (1)

तुमच्या कुबर्नेट्सच्या शेंगा संरक्षित करण्यासाठी हा पर्याय आहे. Calico Kubernetes NetworkPolicy सह कार्य करण्यास समर्थन देते, परंतु ते अतिरिक्त धोरणे देखील प्रदान करते - Calico NetworkPolicy आणि GlobalNetworkPolicy. कॅलिको प्रत्येक पॉडसाठी एक साखळी तयार करते (वर्कलोड) आणि INPUT आणि OUTPUT चेनमध्ये वर्कलोडसाठी FORWARD चेनच्या फिल्टर टेबलवर हुक बनवते.

होस्ट एंडपॉइंट्स

होस्ट एंडपॉइंट पॉलिसी (2)

CNI (कंटेनर नेटवर्क इंटरफेस) व्यतिरिक्त, कॅलिको पॉलिसी होस्टचे स्वतःचे संरक्षण करण्याची क्षमता प्रदान करतात. कॅलिकोमध्ये, तुम्ही होस्ट इंटरफेसचे संयोजन आणि आवश्यक असल्यास, पोर्ट क्रमांक निर्दिष्ट करून होस्ट एंडपॉइंट तयार करू शकता. या घटकासाठी धोरणाची अंमलबजावणी INPUT आणि OUTPUT चेनमधील फिल्टर टेबल वापरून साध्य केली जाते. जसे तुम्ही आकृतीवरून पाहू शकता, (२) ते नोड/होस्टवरील स्थानिक प्रक्रियांना लागू होतात. म्हणजेच, तुम्ही होस्ट एंडपॉईंटला लागू होणारे धोरण तयार केल्यास, ते तुमच्या पॉड्सकडे/येणार्‍या रहदारीवर परिणाम करणार नाही. परंतु ते कॅलिको पॉलिसी वापरून तुमच्या होस्ट आणि पॉड्ससाठी रहदारी अवरोधित करण्यासाठी एकच इंटरफेस/वाक्यरचना प्रदान करते. हे विषम नेटवर्कसाठी धोरणे व्यवस्थापित करण्याची प्रक्रिया मोठ्या प्रमाणात सुलभ करते. क्लस्टर सुरक्षा वाढविण्यासाठी होस्ट एंडपॉईंट पॉलिसी कॉन्फिगर करणे ही आणखी एक महत्त्वाची बाब आहे.

ऑन फॉरवर्ड पॉलिसी लागू करा (3)

कॅलिको ग्लोबल नेटवर्क पॉलिसीमध्ये ApplyOnForward पर्याय उपलब्ध आहे ज्यामुळे होस्ट एंडपॉईंटमधून जाणार्‍या सर्व ट्रॅफिकवर, होस्टद्वारे फॉरवर्ड केल्या जाणार्‍या ट्रॅफिकसह धोरणे लागू करता येतील. यामध्ये स्थानिक पॉडवर किंवा नेटवर्कवर इतर कोठेही फॉरवर्ड केलेल्या ट्रॅफिकचा समावेश होतो. Calico ला हे सेटिंग PreDNAT वापरून धोरणांसाठी सक्षम करणे आणि अनट्रॅक करणे आवश्यक आहे, खालील विभाग पहा. याव्यतिरिक्त, ज्या प्रकरणांमध्ये व्हर्च्युअल राउटर किंवा सॉफ्टवेअर NAT वापरले जाते तेथे होस्ट रहदारीचे निरीक्षण करण्यासाठी ApplyOnForward चा वापर केला जाऊ शकतो.

लक्षात ठेवा की जर तुम्हाला समान नेटवर्क पॉलिसी दोन्ही होस्ट प्रक्रिया आणि पॉड्सवर लागू करायची असेल, तर तुम्हाला ApplyOnForward पर्याय वापरण्याची आवश्यकता नाही. तुम्हाला फक्त आवश्यक होस्टंडपॉईंट आणि वर्कलोड एंडपॉईंट (पॉड) साठी लेबल तयार करायचे आहे. एंडपॉईंट प्रकार (होस्टेंडपॉईंट किंवा वर्कलोड) विचारात न घेता, लेबल्सवर आधारित धोरण लागू करण्यासाठी कॅलिको पुरेसे स्मार्ट आहे.

PreDNAT धोरण (4)

Kubernetes मध्ये, NodePorts पर्याय वापरून किंवा वैकल्पिकरित्या (Calico वापरताना), क्लस्टर IP किंवा External IPs पर्याय वापरून त्यांची जाहिरात करून सेवा संस्था पोर्ट बाहेरून उघड करता येतात. कुबे-प्रॉक्सी DNAT वापरून संबंधित सेवेच्या पॉड्सच्या सेवेशी बंधनकारक येणारी रहदारी संतुलित करते. हे लक्षात घेता, नोडपोर्ट्सद्वारे येणाऱ्या रहदारीसाठी तुम्ही धोरणांची अंमलबजावणी कशी कराल? DNAT द्वारे ट्रॅफिकवर प्रक्रिया करण्यापूर्वी ही धोरणे लागू केली जातील याची खात्री करण्यासाठी (जे होस्ट:पोर्ट आणि संबंधित सेवेमधील मॅपिंग आहे), कॅलिको ग्लोबल नेटवर्क पॉलिसीसाठी "preDNAT: true" नावाचे पॅरामीटर प्रदान करते.

जेव्हा प्री-DNAT सक्षम केले जाते, तेव्हा ही धोरणे (4) आकृतीमध्ये - PREROUTING साखळीच्या मॅंगल टेबलमध्ये - DNAT च्या लगेच आधी लागू केली जातात. येथे धोरणांचा नेहमीचा क्रम पाळला जात नाही, कारण या धोरणांचा वापर ट्रॅफिक प्रक्रियेच्या मार्गात खूप आधी होतो. तथापि, preDNAT धोरणे आपापसात अर्ज करण्याच्या क्रमाचा आदर करतात.

प्री-DNAT सह धोरणे तयार करताना, आपण ज्या ट्रॅफिकवर प्रक्रिया करू इच्छिता त्याबद्दल सावधगिरी बाळगणे आणि बहुसंख्य नाकारण्याची परवानगी देणे आवश्यक आहे. प्री-DNAT पॉलिसीमध्ये 'परवानगी द्या' म्हणून चिन्हांकित केलेली रहदारी यापुढे होस्टंडपॉईंट पॉलिसीद्वारे तपासली जाणार नाही, तर DNAT-पूर्व धोरणास अपयशी ठरणारी रहदारी उर्वरित साखळींमधून सुरू राहील.
कॅलिकोने preDNAT वापरताना ApplyOnForward पर्याय सक्षम करणे अनिवार्य केले आहे, कारण व्याख्येनुसार रहदारीचे गंतव्यस्थान अद्याप निवडलेले नाही. ट्रॅफिक होस्ट प्रक्रियेकडे निर्देशित केले जाऊ शकते किंवा ते पॉड किंवा दुसर्या नोडकडे पाठवले जाऊ शकते.

अनट्रॅक केलेले धोरण (५)

नेटवर्क आणि ऍप्लिकेशन्समध्ये वर्तनामध्ये मोठा फरक असू शकतो. काही अत्यंत प्रकरणांमध्ये, ऍप्लिकेशन्स अनेक अल्पायुषी कनेक्शन तयार करू शकतात. यामुळे कॉन्ट्रॅक (लिनक्स नेटवर्किंग स्टॅकचा मुख्य घटक) मेमरी संपुष्टात येऊ शकते. पारंपारिकपणे, लिनक्सवर या प्रकारचे ऍप्लिकेशन चालविण्यासाठी, तुम्हाला कॉन्ट्रॅक मॅन्युअली कॉन्फिगर किंवा अक्षम करावे लागेल किंवा कॉन्ट्रॅकला बायपास करण्यासाठी iptables नियम लिहावे लागतील. जर तुम्हाला शक्य तितक्या लवकर कनेक्शनवर प्रक्रिया करायची असेल तर कॅलिकोमधील अनट्रॅक केलेले धोरण हा एक सोपा आणि अधिक कार्यक्षम पर्याय आहे. उदाहरणार्थ, आपण मोठ्या प्रमाणात वापरल्यास memcache किंवा विरुद्ध संरक्षण अतिरिक्त उपाय म्हणून डीडीओएस.

हे वाच ब्लॉग पोस्ट (किंवा आमचे भाषांतर) ट्रॅक न केलेले धोरण वापरून कार्यप्रदर्शन चाचण्यांसह अधिक माहितीसाठी.

जेव्हा तुम्ही Calico globalNetworkPolicy मध्ये "doNotTrack: true" पर्याय सेट करता, तेव्हा ते **ट्रॅक न केलेले** धोरण बनते आणि Linux पॅकेट प्रोसेसिंग पाइपलाइनमध्ये अगदी लवकर लागू होते. वरील आकृती पाहता, कनेक्शन ट्रॅकिंग (कॉन्ट्रॅक) सुरू होण्यापूर्वी रॉ टेबलमधील प्रीरॉउटिंग आणि आउटपुट चेनमध्ये अनट्रॅक न केलेली पॉलिसी लागू केली जातात. ट्रॅक न केलेल्या धोरणाद्वारे पॅकेटला परवानगी दिली जाते तेव्हा, त्या पॅकेटसाठी कनेक्शन ट्रॅकिंग अक्षम करण्यासाठी चिन्हांकित केले जाते. याचा अर्थ:

अनट्रॅक केलेले धोरण प्रति-पॅकेट आधारावर लागू केले जाते. कनेक्शनची (किंवा प्रवाह) संकल्पना नाही. कनेक्शनच्या कमतरतेचे अनेक महत्त्वपूर्ण परिणाम आहेत:
तुम्हाला विनंती आणि प्रतिसाद दोन्ही रहदारीला अनुमती द्यायची असल्यास, तुम्हाला इनबाउंड आणि आउटबाउंड दोन्हीसाठी एक नियम आवश्यक आहे (कारण कॅलिको सामान्यत: प्रतिसाद ट्रॅफिकला परवानगी म्हणून चिन्हांकित करण्यासाठी कॉन्ट्रॅक वापरते).
ट्रॅक न केलेले धोरण Kubernetes वर्कलोड्स (पॉड्स) साठी कार्य करत नाही, कारण या प्रकरणात पॉडमधून आउटगोइंग कनेक्शन ट्रॅक करण्याचा कोणताही मार्ग नाही.
NAT ट्रॅक न केलेल्या पॅकेटसह योग्यरित्या कार्य करत नाही (कारण कर्नल NAT मॅपिंग कॉन्ट्रॅकमध्ये संग्रहित करते).
अनट्रॅक न केलेल्या पॉलिसीमधील "सर्वांना परवानगी द्या" नियमातून जाताना, सर्व पॅकेट अनट्रॅक केलेले म्हणून चिन्हांकित केले जातील. हे जवळजवळ नेहमीच तुम्हाला हवे तसे नसते, त्यामुळे ट्रॅक न केलेल्या धोरणांद्वारे परवानगी असलेल्या पॅकेट्सबद्दल खूप निवडक असणे महत्त्वाचे आहे (आणि बहुतेक ट्रॅफिकला सामान्य ट्रॅक केलेल्या धोरणांद्वारे जाण्याची परवानगी द्या).
पॅकेट प्रोसेसिंग पाइपलाइनच्या अगदी सुरुवातीला ट्रॅक न केलेली पॉलिसी लागू केली जाते. कॅलिको पॉलिसी तयार करताना हे समजून घेणे फार महत्वाचे आहे. तुमच्याकडे ऑर्डर:1 असलेली पॉड पॉलिसी आणि ऑर्डर:1000 सह अनट्रॅक केलेली पॉलिसी असू शकते. काही फरक पडणार नाही. पॉडसाठी पॉलिसीपूर्वी अनट्रॅक केलेले पॉलिसी लागू केली जाईल. अनट्रॅक न केलेले धोरणे केवळ आपापसातच अंमलबजावणी आदेशाचा आदर करतात.

कारण doNotTrack पॉलिसीचा एक उद्देश Linux पॅकेट प्रोसेसिंग पाइपलाइनमध्ये पॉलिसीची अगदी लवकर अंमलबजावणी करणे हा आहे, कॅलिकोने doNotTrack वापरताना applyOnForward पर्याय निर्दिष्ट करणे अनिवार्य केले आहे. पॅकेट प्रोसेसिंग डायग्रामचा संदर्भ देत, लक्षात घ्या की कोणत्याही राउटिंग निर्णयापूर्वी अनट्रॅक केलेले(5) धोरण लागू केले जाते. ट्रॅफिक होस्ट प्रक्रियेकडे निर्देशित केले जाऊ शकते किंवा ते पॉड किंवा दुसर्या नोडकडे पाठवले जाऊ शकते.

परिणाम

आम्ही कॅलिकोमधील विविध धोरण पर्याय (होस्ट एंडपॉइंट, अप्लायऑनफॉर्वर्ड, प्रीडीएनएटी आणि अनट्रॅक केलेले) आणि ते पॅकेट प्रक्रिया मार्गावर कसे लागू केले जातात ते पाहिले. ते कसे कार्य करतात हे समजून घेणे प्रभावी आणि सुरक्षित धोरणे विकसित करण्यात मदत करते. कॅलिकोसह तुम्ही लेबलवर लागू होणारे जागतिक नेटवर्क धोरण वापरू शकता (नोड्स आणि पॉड्सचा समूह) आणि विविध पॅरामीटर्ससह धोरणे लागू करू शकता. हे सुरक्षा आणि नेटवर्क डिझाइन व्यावसायिकांना कॅलिको पॉलिसींसह एकल पॉलिसी भाषा वापरून एकाच वेळी "सर्वकाही" (एंडपॉइंट प्रकार) सोयीस्करपणे संरक्षित करण्यास अनुमती देते.

पोचपावती: मी आभार मानू इच्छितो शॉन क्रॅम्प्टन и अलेक्सा पोलिटा त्यांच्या पुनरावलोकनासाठी आणि मौल्यवान माहितीसाठी.

स्त्रोत: www.habr.com

कॅलिको सह नेटवर्क धोरण पर्याय समजून घेणे