ਕੈਲੀਕੋ ਦੇ ਨਾਲ ਨੈੱਟਵਰਕ ਨੀਤੀ ਵਿਕਲਪਾਂ ਨੂੰ ਸਮਝਣਾ

ਕੈਲੀਕੋ ਨੈੱਟਵਰਕ ਪਲੱਗਇਨ ਹਾਰਡਵੇਅਰ ਹੋਸਟਾਂ, ਵਰਚੁਅਲ ਮਸ਼ੀਨਾਂ ਅਤੇ ਪੌਡਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਇੱਕ ਯੂਨੀਫਾਈਡ ਸਿੰਟੈਕਸ ਨਾਲ ਨੈੱਟਵਰਕ ਨੀਤੀਆਂ ਦੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸ਼੍ਰੇਣੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਇਹ ਨੀਤੀਆਂ ਨੇਮਸਪੇਸ ਦੇ ਅੰਦਰ ਲਾਗੂ ਕੀਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ ਜਾਂ ਗਲੋਬਲ ਨੈੱਟਵਰਕ ਨੀਤੀਆਂ ਹੋ ਸਕਦੀਆਂ ਹਨ ਜੋ ਲਾਗੂ ਹੁੰਦੀਆਂ ਹਨ ਹੋਸਟ ਅੰਤ ਬਿੰਦੂ (ਸਿੱਧੇ ਹੋਸਟ 'ਤੇ ਚੱਲ ਰਹੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ - ਹੋਸਟ ਸਰਵਰ ਜਾਂ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਹੋ ਸਕਦਾ ਹੈ) ਜਾਂ ਵਰਕਲੋਡ ਅੰਤਮ ਬਿੰਦੂ (ਕੰਟੇਨਰਾਂ ਜਾਂ ਹੋਸਟਡ ਵਰਚੁਅਲ ਮਸ਼ੀਨਾਂ ਵਿੱਚ ਚੱਲ ਰਹੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ)। ਕੈਲੀਕੋ ਨੀਤੀਆਂ ਤੁਹਾਨੂੰ ਪੈਕਟ ਦੇ ਮਾਰਗ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਬਿੰਦੂਆਂ 'ਤੇ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀਆਂ ਹਨ ਜਿਵੇਂ ਕਿ preDNAT, unraracked, ਅਤੇ applyOnForward। ਇਹ ਸਮਝਣਾ ਕਿ ਇਹ ਵਿਕਲਪ ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ ਤੁਹਾਡੇ ਸਮੁੱਚੇ ਸਿਸਟਮ ਦੀ ਸੁਰੱਖਿਆ ਅਤੇ ਪ੍ਰਦਰਸ਼ਨ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਵਿੱਚ ਮਦਦ ਕਰ ਸਕਦੇ ਹਨ। ਇਹ ਲੇਖ ਪੈਕੇਟ ਪ੍ਰੋਸੈਸਿੰਗ ਮਾਰਗਾਂ (iptabels ਚੇਨਾਂ) ਵਿੱਚ ਕੀ ਹੁੰਦਾ ਹੈ ਇਸ ਗੱਲ 'ਤੇ ਜ਼ੋਰ ਦੇਣ ਦੇ ਨਾਲ, ਹੋਸਟ ਐਂਡਪੁਆਇੰਟਾਂ 'ਤੇ ਲਾਗੂ ਕੀਤੇ ਗਏ ਕੈਲੀਕੋ ਨੀਤੀ ਵਿਕਲਪਾਂ (preDNAT, unraracked ਅਤੇ applyOnForward) ਦੇ ਤੱਤ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ।

ਇਹ ਲੇਖ ਇਹ ਮੰਨਦਾ ਹੈ ਕਿ ਤੁਹਾਨੂੰ ਕੁਬਰਨੇਟਸ ਅਤੇ ਕੈਲੀਕੋ ਨੈੱਟਵਰਕ ਨੀਤੀਆਂ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀਆਂ ਹਨ ਇਸ ਬਾਰੇ ਬੁਨਿਆਦੀ ਸਮਝ ਹੈ। ਜੇ ਨਹੀਂ, ਤਾਂ ਅਸੀਂ ਇਸਨੂੰ ਅਜ਼ਮਾਉਣ ਦੀ ਸਿਫਾਰਸ਼ ਕਰਦੇ ਹਾਂ ਬੁਨਿਆਦੀ ਨੈੱਟਵਰਕ ਨੀਤੀ ਟਿਊਟੋਰਿਅਲ и ਹੋਸਟ ਸੁਰੱਖਿਆ ਟਿਊਟੋਰਿਅਲ ਇਸ ਲੇਖ ਨੂੰ ਪੜ੍ਹਨ ਤੋਂ ਪਹਿਲਾਂ ਕੈਲੀਕੋ ਦੀ ਵਰਤੋਂ ਕਰਨਾ. ਅਸੀਂ ਤੁਹਾਡੇ ਤੋਂ ਕੰਮ ਦੀ ਮੁਢਲੀ ਸਮਝ ਦੀ ਵੀ ਉਮੀਦ ਕਰਦੇ ਹਾਂ iptables ਲੀਨਕਸ ਵਿੱਚ.

ਕੈਲੀਕੋ ਗਲੋਬਲ ਨੈੱਟਵਰਕ ਨੀਤੀ ਤੁਹਾਨੂੰ ਲੇਬਲਾਂ (ਮੇਜ਼ਬਾਨਾਂ ਅਤੇ ਵਰਕਲੋਡਾਂ/ਪੋਡਾਂ ਦੇ ਸਮੂਹਾਂ ਲਈ) ਦੁਆਰਾ ਪਹੁੰਚ ਨਿਯਮਾਂ ਦੇ ਇੱਕ ਸੈੱਟ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਇਹ ਬਹੁਤ ਲਾਭਦਾਇਕ ਹੈ ਜੇਕਰ ਤੁਸੀਂ ਵੱਖੋ-ਵੱਖਰੇ ਸਿਸਟਮਾਂ ਨੂੰ ਇਕੱਠੇ ਵਰਤਦੇ ਹੋ - ਵਰਚੁਅਲ ਮਸ਼ੀਨਾਂ, ਹਾਰਡਵੇਅਰ 'ਤੇ ਸਿੱਧਾ ਸਿਸਟਮ, ਜਾਂ ਕੁਬਰਨੇਟਸ ਬੁਨਿਆਦੀ ਢਾਂਚਾ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਤੁਸੀਂ ਘੋਸ਼ਣਾਤਮਕ ਨੀਤੀਆਂ ਦੇ ਇੱਕ ਸਮੂਹ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਆਪਣੇ ਕਲੱਸਟਰ (ਨੋਡਾਂ) ਦੀ ਰੱਖਿਆ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਆਉਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ (ਉਦਾਹਰਨ ਲਈ, ਨੋਡਪੋਰਟਸ ਜਾਂ ਬਾਹਰੀ IPs ਸੇਵਾ ਦੁਆਰਾ) ਨੈੱਟਵਰਕ ਨੀਤੀਆਂ ਨੂੰ ਲਾਗੂ ਕਰ ਸਕਦੇ ਹੋ।

ਇੱਕ ਬੁਨਿਆਦੀ ਪੱਧਰ 'ਤੇ, ਜਦੋਂ ਕੈਲੀਕੋ ਇੱਕ ਪੌਡ ਨੂੰ ਨੈੱਟਵਰਕ ਨਾਲ ਜੋੜਦਾ ਹੈ (ਹੇਠਾਂ ਚਿੱਤਰ ਵੇਖੋ), ਇਹ ਇਸਨੂੰ ਇੱਕ ਵਰਚੁਅਲ ਈਥਰਨੈੱਟ ਇੰਟਰਫੇਸ (ਵੈਥ) ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਹੋਸਟ ਨਾਲ ਜੋੜਦਾ ਹੈ। ਪੌਡ ਦੁਆਰਾ ਭੇਜਿਆ ਟ੍ਰੈਫਿਕ ਇਸ ਵਰਚੁਅਲ ਇੰਟਰਫੇਸ ਤੋਂ ਹੋਸਟ ਨੂੰ ਆਉਂਦਾ ਹੈ ਅਤੇ ਉਸੇ ਤਰ੍ਹਾਂ ਪ੍ਰੋਸੈਸ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਿਵੇਂ ਕਿ ਇਹ ਇੱਕ ਭੌਤਿਕ ਨੈਟਵਰਕ ਇੰਟਰਫੇਸ ਤੋਂ ਆਇਆ ਹੈ। ਮੂਲ ਰੂਪ ਵਿੱਚ, ਕੈਲੀਕੋ ਇਹਨਾਂ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਕੈਲੀਐਕਸਐਕਸਐਕਸ ਦਾ ਨਾਮ ਦਿੰਦਾ ਹੈ। ਕਿਉਂਕਿ ਟ੍ਰੈਫਿਕ ਵਰਚੁਅਲ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਆਉਂਦਾ ਹੈ, ਇਹ iptables ਦੁਆਰਾ ਜਾਂਦਾ ਹੈ ਜਿਵੇਂ ਕਿ ਪੌਡ ਇੱਕ ਹੌਪ ਦੂਰ ਸੀ। ਇਸ ਲਈ, ਜਦੋਂ ਟ੍ਰੈਫਿਕ ਕਿਸੇ ਪੌਡ ਤੋਂ/ਤੋਂ ਆਉਂਦਾ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਮੇਜ਼ਬਾਨ ਦੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਅੱਗੇ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ।

ਕੈਲੀਕੋ ਚਲਾ ਰਹੇ ਕੁਬਰਨੇਟਸ ਨੋਡ 'ਤੇ, ਤੁਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਅਨੁਸਾਰ ਵਰਚੁਅਲ ਇੰਟਰਫੇਸ (ਵੈਥ) ਨੂੰ ਵਰਕਲੋਡ ਨਾਲ ਮੈਪ ਕਰ ਸਕਦੇ ਹੋ। ਹੇਠਾਂ ਦਿੱਤੀ ਉਦਾਹਰਨ ਵਿੱਚ ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ ਕਿ veth#10 (calic1cbf1ca0f8) ਕੈਲੀਕੋ-ਨਿਗਰਾਨੀ ਨੇਮਸਪੇਸ ਵਿੱਚ cnx-manager-* ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ।

[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
    link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
    inet6 fe80::ecee:eeff:feee:eeee/64 scope link
       valid_lft forever preferred_lft forever
...

[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m                            ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...

ਇਹ ਦੇਖਦੇ ਹੋਏ ਕਿ ਕੈਲੀਕੋ ਹਰੇਕ ਵਰਕਲੋਡ ਲਈ ਇੱਕ ਵੈਥ ਇੰਟਰਫੇਸ ਬਣਾਉਂਦਾ ਹੈ, ਇਹ ਨੀਤੀਆਂ ਨੂੰ ਕਿਵੇਂ ਲਾਗੂ ਕਰਦਾ ਹੈ? ਅਜਿਹਾ ਕਰਨ ਲਈ, ਕੈਲੀਕੋ iptables ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪੈਕੇਟ ਪ੍ਰੋਸੈਸਿੰਗ ਮਾਰਗ ਦੀਆਂ ਵੱਖ-ਵੱਖ ਚੇਨਾਂ ਵਿੱਚ ਹੁੱਕ ਬਣਾਉਂਦਾ ਹੈ।

ਹੇਠਾਂ ਦਿੱਤਾ ਚਿੱਤਰ iptables (ਜਾਂ ਨੈੱਟਫਿਲਟਰ ਸਬਸਿਸਟਮ) ਵਿੱਚ ਪੈਕੇਟ ਪ੍ਰੋਸੈਸਿੰਗ ਵਿੱਚ ਸ਼ਾਮਲ ਚੇਨਾਂ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਜਦੋਂ ਇੱਕ ਪੈਕੇਟ ਇੱਕ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਆਉਂਦਾ ਹੈ, ਇਹ ਪਹਿਲਾਂ ਪ੍ਰੀਰੂਟਿੰਗ ਚੇਨ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ। ਫਿਰ ਇੱਕ ਰੂਟਿੰਗ ਫੈਸਲਾ ਲਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇਸਦੇ ਅਧਾਰ ਤੇ, ਪੈਕੇਟ ਜਾਂ ਤਾਂ INPUT (ਹੋਸਟ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਨਿਰਦੇਸ਼ਿਤ) ਜਾਂ FORWARD (ਨੈੱਟਵਰਕ ਉੱਤੇ ਇੱਕ ਪੌਡ ਜਾਂ ਕਿਸੇ ਹੋਰ ਨੋਡ ਨੂੰ ਨਿਰਦੇਸ਼ਿਤ) ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ। ਸਥਾਨਕ ਪ੍ਰਕਿਰਿਆ ਤੋਂ, ਕੇਬਲ ਨੂੰ ਹੇਠਾਂ ਭੇਜਣ ਤੋਂ ਪਹਿਲਾਂ ਪੈਕੇਟ OUTPUT ਅਤੇ ਫਿਰ POSTROUTING ਚੇਨ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ।

ਨੋਟ ਕਰੋ ਕਿ iptables ਪ੍ਰੋਸੈਸਿੰਗ ਦੇ ਰੂਪ ਵਿੱਚ ਪੌਡ ਇੱਕ ਬਾਹਰੀ ਇਕਾਈ (ਵੈਥ ਨਾਲ ਜੁੜਿਆ) ਵੀ ਹੈ। ਆਉ ਸੰਖੇਪ ਕਰੀਏ:

• ਫਾਰਵਰਡ ਕੀਤਾ ਟ੍ਰੈਫਿਕ (ਨੈੱਟ, ਰੂਟਡ ਜਾਂ ਪੌਡ ਤੋਂ/ਤੋਂ) ਪ੍ਰੀਰੂਟਿੰਗ - ਫਾਰਵਰਡ - ਪੋਸਟਰੂਟਿੰਗ ਚੇਨਾਂ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ।
• ਸਥਾਨਕ ਹੋਸਟ ਪ੍ਰਕਿਰਿਆ ਲਈ ਟ੍ਰੈਫਿਕ PREROUTING - INPUT ਚੇਨ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ।
• ਸਥਾਨਕ ਹੋਸਟ ਪ੍ਰਕਿਰਿਆ ਤੋਂ ਟ੍ਰੈਫਿਕ OUTPUT - POSTROUTING ਚੇਨ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ।

ਕੈਲੀਕੋ ਨੀਤੀ ਵਿਕਲਪ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਸਾਰੀਆਂ ਚੇਨਾਂ ਵਿੱਚ ਨੀਤੀਆਂ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇਸ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ, ਆਓ ਕੈਲੀਕੋ ਵਿੱਚ ਉਪਲਬਧ ਵੱਖ-ਵੱਖ ਨੀਤੀ ਸੰਰਚਨਾ ਵਿਕਲਪਾਂ ਨੂੰ ਵੇਖੀਏ। ਹੇਠਾਂ ਦਿੱਤੇ ਵਿਕਲਪਾਂ ਦੀ ਸੂਚੀ ਵਿੱਚ ਨੰਬਰ ਉਪਰੋਕਤ ਚਿੱਤਰ ਵਿੱਚ ਦਿੱਤੇ ਨੰਬਰਾਂ ਨਾਲ ਮੇਲ ਖਾਂਦੇ ਹਨ।

1. ਵਰਕਲੋਡ ਐਂਡਪੁਆਇੰਟ (ਪੋਡ) ਨੀਤੀ
2. ਹੋਸਟ ਐਂਡਪੁਆਇੰਟ ਨੀਤੀ
3. ਅਪਲਾਈਓਨਫੋਰਡ ਵਿਕਲਪ
4. PreDNAT ਨੀਤੀ
5. ਅਨਟਰੈਕ ਕੀਤੀ ਨੀਤੀ

ਆਉ ਇਹ ਦੇਖ ਕੇ ਸ਼ੁਰੂਆਤ ਕਰੀਏ ਕਿ ਕਿਵੇਂ ਨੀਤੀਆਂ ਨੂੰ ਵਰਕਲੋਡ ਐਂਡਪੁਆਇੰਟ (ਕੁਬਰਨੇਟਸ ਪੌਡ ਜਾਂ ਓਪਨਸਟੈਕ VMs) 'ਤੇ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਫਿਰ ਹੋਸਟ ਐਂਡਪੁਆਇੰਟਸ ਲਈ ਨੀਤੀ ਵਿਕਲਪਾਂ ਨੂੰ ਦੇਖੋ।

ਵਰਕਲੋਡ ਅੰਤ ਬਿੰਦੂ

ਵਰਕਲੋਡ ਅੰਤਮ ਬਿੰਦੂ ਨੀਤੀ (1)

ਇਹ ਤੁਹਾਡੇ kubernetes pods ਦੀ ਰੱਖਿਆ ਕਰਨ ਲਈ ਇੱਕ ਵਿਕਲਪ ਹੈ. ਕੈਲੀਕੋ Kubernetes NetworkPolicy ਨਾਲ ਕੰਮ ਕਰਨ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਪਰ ਇਹ ਵਾਧੂ ਨੀਤੀਆਂ ਵੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ - Calico NetworkPolicy ਅਤੇ GlobalNetworkPolicy। ਕੈਲੀਕੋ ਹਰੇਕ ਪੌਡ (ਵਰਕਲੋਡ) ਲਈ ਇੱਕ ਚੇਨ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਫਾਰਵਰਡ ਚੇਨ ਦੇ ਫਿਲਟਰ ਟੇਬਲ ਵਿੱਚ ਵਰਕਲੋਡ ਲਈ INPUT ਅਤੇ OUTPUT ਚੇਨਾਂ ਵਿੱਚ ਹੁੱਕ ਬਣਾਉਂਦਾ ਹੈ।

ਹੋਸਟ ਐਂਡਪੁਆਇੰਟਸ

ਹੋਸਟ ਐਂਡਪੁਆਇੰਟ ਨੀਤੀ (2)

CNI (ਕੰਟੇਨਰ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ) ਤੋਂ ਇਲਾਵਾ, ਕੈਲੀਕੋ ਨੀਤੀਆਂ ਹੋਸਟ ਨੂੰ ਆਪਣੇ ਆਪ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਦੀ ਸਮਰੱਥਾ ਪ੍ਰਦਾਨ ਕਰਦੀਆਂ ਹਨ। ਕੈਲੀਕੋ ਵਿੱਚ, ਤੁਸੀਂ ਹੋਸਟ ਇੰਟਰਫੇਸ ਦੇ ਸੁਮੇਲ ਅਤੇ, ਜੇ ਲੋੜ ਹੋਵੇ, ਪੋਰਟ ਨੰਬਰ ਨਿਰਧਾਰਤ ਕਰਕੇ ਇੱਕ ਹੋਸਟ ਐਂਡਪੁਆਇੰਟ ਬਣਾ ਸਕਦੇ ਹੋ। ਇਸ ਇਕਾਈ ਲਈ ਨੀਤੀ ਲਾਗੂ ਕਰਨਾ INPUT ਅਤੇ OUTPUT ਚੇਨਾਂ ਵਿੱਚ ਇੱਕ ਫਿਲਟਰ ਟੇਬਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਚਿੱਤਰ ਤੋਂ ਦੇਖ ਸਕਦੇ ਹੋ, (2) ਉਹ ਨੋਡ/ਹੋਸਟ 'ਤੇ ਸਥਾਨਕ ਪ੍ਰਕਿਰਿਆਵਾਂ 'ਤੇ ਲਾਗੂ ਹੁੰਦੇ ਹਨ। ਭਾਵ, ਜੇਕਰ ਤੁਸੀਂ ਇੱਕ ਨੀਤੀ ਬਣਾਉਂਦੇ ਹੋ ਜੋ ਹੋਸਟ ਐਂਡਪੁਆਇੰਟ 'ਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਇਹ ਤੁਹਾਡੇ ਪੌਡਸ ਤੋਂ/ਤੋਂ ਜਾਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪ੍ਰਭਾਵਤ ਨਹੀਂ ਕਰੇਗੀ। ਪਰ ਇਹ ਕੈਲੀਕੋ ਨੀਤੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਤੁਹਾਡੇ ਹੋਸਟ ਅਤੇ ਪੌਡਾਂ ਲਈ ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ ਸਿੰਗਲ ਇੰਟਰਫੇਸ/ਸਿੰਟੈਕਸ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਇਹ ਇੱਕ ਵਿਭਿੰਨ ਨੈੱਟਵਰਕ ਲਈ ਨੀਤੀਆਂ ਦੇ ਪ੍ਰਬੰਧਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਬਹੁਤ ਸਰਲ ਬਣਾਉਂਦਾ ਹੈ। ਕਲੱਸਟਰ ਸੁਰੱਖਿਆ ਨੂੰ ਵਧਾਉਣ ਲਈ ਹੋਸਟ ਐਂਡਪੁਆਇੰਟ ਪਾਲਿਸੀਆਂ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨਾ ਇੱਕ ਹੋਰ ਮਹੱਤਵਪੂਰਨ ਵਰਤੋਂ ਕੇਸ ਹੈ।

ਅਪਲਾਈ ਆਨ ਫਾਰਵਰਡ ਨੀਤੀ (3)

ApplyOnForward ਵਿਕਲਪ ਕੈਲੀਕੋ ਗਲੋਬਲ ਨੈੱਟਵਰਕ ਨੀਤੀ ਵਿੱਚ ਉਪਲਬਧ ਹੈ ਤਾਂ ਜੋ ਹੋਸਟ ਐਂਡਪੁਆਇੰਟ ਤੋਂ ਲੰਘਣ ਵਾਲੇ ਸਾਰੇ ਟ੍ਰੈਫਿਕ 'ਤੇ ਨੀਤੀਆਂ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕੇ, ਜਿਸ ਵਿੱਚ ਹੋਸਟ ਦੁਆਰਾ ਅੱਗੇ ਭੇਜੇ ਜਾਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਵੀ ਸ਼ਾਮਲ ਹਨ। ਇਸ ਵਿੱਚ ਸਥਾਨਕ ਪੌਡ ਜਾਂ ਨੈੱਟਵਰਕ 'ਤੇ ਕਿਤੇ ਵੀ ਅੱਗੇ ਭੇਜੇ ਜਾਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਸ਼ਾਮਲ ਹਨ। ਕੈਲੀਕੋ ਨੂੰ PreDNAT ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਨੀਤੀਆਂ ਲਈ ਇਸ ਸੈਟਿੰਗ ਨੂੰ ਚਾਲੂ ਕਰਨ ਅਤੇ ਅਣਟਰੈਕ ਕੀਤੇ ਜਾਣ ਦੀ ਲੋੜ ਹੈ, ਹੇਠਾਂ ਦਿੱਤੇ ਭਾਗਾਂ ਨੂੰ ਦੇਖੋ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ApplyOnForward ਦੀ ਵਰਤੋਂ ਉਹਨਾਂ ਮਾਮਲਿਆਂ ਵਿੱਚ ਹੋਸਟ ਟ੍ਰੈਫਿਕ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਜਿੱਥੇ ਇੱਕ ਵਰਚੁਅਲ ਰਾਊਟਰ ਜਾਂ ਸੌਫਟਵੇਅਰ NAT ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਨੋਟ ਕਰੋ ਕਿ ਜੇਕਰ ਤੁਹਾਨੂੰ ਹੋਸਟ ਪ੍ਰਕਿਰਿਆਵਾਂ ਅਤੇ ਪੌਡ ਦੋਵਾਂ ਲਈ ਇੱਕੋ ਨੈੱਟਵਰਕ ਨੀਤੀ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਤਾਂ ਤੁਹਾਨੂੰ ApplyOnForward ਵਿਕਲਪ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਤੁਹਾਨੂੰ ਸਿਰਫ਼ ਲੋੜੀਂਦੇ ਹੋਸਟੈਂਡਪੁਆਇੰਟ ਅਤੇ ਵਰਕਲੋਡ ਐਂਡਪੁਆਇੰਟ (ਪੋਡ) ਲਈ ਇੱਕ ਲੇਬਲ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ। ਕੈਲੀਕੋ ਐਂਡਪੁਆਇੰਟ ਕਿਸਮ (ਹੋਸਟੈਂਡਪੁਆਇੰਟ ਜਾਂ ਵਰਕਲੋਡ) ਦੀ ਪਰਵਾਹ ਕੀਤੇ ਬਿਨਾਂ, ਲੇਬਲਾਂ 'ਤੇ ਅਧਾਰਤ ਨੀਤੀ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਚੁਸਤ ਹੈ।

PreDNAT ਨੀਤੀ (4)

ਕੁਬਰਨੇਟਸ ਵਿੱਚ, ਸੇਵਾ ਇਕਾਈ ਪੋਰਟਾਂ ਨੂੰ ਨੋਡਪੋਰਟਸ ਵਿਕਲਪ ਜਾਂ ਵਿਕਲਪਿਕ ਤੌਰ 'ਤੇ (ਜਦੋਂ ਕੈਲੀਕੋ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ), ਕਲੱਸਟਰ ਆਈਪੀ ਜਾਂ ਬਾਹਰੀ ਆਈਪੀ ਵਿਕਲਪਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਉਹਨਾਂ ਨੂੰ ਇਸ਼ਤਿਹਾਰ ਦੇ ਕੇ ਬਾਹਰੋਂ ਪ੍ਰਗਟ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਕੁਬੇ-ਪ੍ਰਾਕਸੀ ਡੀਐਨਏਟੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸੰਬੰਧਿਤ ਸੇਵਾ ਦੇ ਪੌਡਾਂ ਲਈ ਸੇਵਾ ਨਾਲ ਜੁੜੇ ਆਉਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸੰਤੁਲਿਤ ਕਰਦਾ ਹੈ। ਇਸ ਨੂੰ ਦੇਖਦੇ ਹੋਏ, ਤੁਸੀਂ ਨੋਡਪੋਰਟਸ ਦੁਆਰਾ ਆਉਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਲਈ ਨੀਤੀਆਂ ਨੂੰ ਕਿਵੇਂ ਲਾਗੂ ਕਰਦੇ ਹੋ? ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਕਿ ਇਹ ਨੀਤੀਆਂ DNAT (ਜੋ ਕਿ ਹੋਸਟ:ਪੋਰਟ ਅਤੇ ਸੰਬੰਧਿਤ ਸੇਵਾ ਦੇ ਵਿਚਕਾਰ ਇੱਕ ਮੈਪਿੰਗ ਹੈ) ਦੁਆਰਾ ਟ੍ਰੈਫਿਕ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕੀਤੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਲਾਗੂ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਕੈਲੀਕੋ "preDNAT: true" ਨਾਮਕ ਗਲੋਬਲ ਨੈੱਟਵਰਕ ਨੀਤੀ ਲਈ ਇੱਕ ਪੈਰਾਮੀਟਰ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਜਦੋਂ ਪੂਰਵ-DNAT ਯੋਗ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਇਹ ਨੀਤੀਆਂ (4) ਚਿੱਤਰ ਵਿੱਚ - PREROUTING ਚੇਨ ਦੇ ਮੰਗਲ ਸਾਰਣੀ ਵਿੱਚ - DNAT ਤੋਂ ਤੁਰੰਤ ਪਹਿਲਾਂ ਲਾਗੂ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਇੱਥੇ ਨੀਤੀਆਂ ਦੇ ਆਮ ਕ੍ਰਮ ਦੀ ਪਾਲਣਾ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ, ਕਿਉਂਕਿ ਇਹਨਾਂ ਨੀਤੀਆਂ ਦੀ ਵਰਤੋਂ ਟ੍ਰੈਫਿਕ ਪ੍ਰੋਸੈਸਿੰਗ ਮਾਰਗ ਵਿੱਚ ਬਹੁਤ ਪਹਿਲਾਂ ਹੁੰਦੀ ਹੈ। ਹਾਲਾਂਕਿ, preDNAT ਨੀਤੀਆਂ ਆਪਸ ਵਿੱਚ ਅਰਜ਼ੀ ਦੇ ਕ੍ਰਮ ਦਾ ਆਦਰ ਕਰਦੀਆਂ ਹਨ।

ਪੂਰਵ-DNAT ਨਾਲ ਨੀਤੀਆਂ ਬਣਾਉਂਦੇ ਸਮੇਂ, ਉਸ ਟ੍ਰੈਫਿਕ ਬਾਰੇ ਸਾਵਧਾਨ ਰਹਿਣਾ ਮਹੱਤਵਪੂਰਨ ਹੁੰਦਾ ਹੈ ਜਿਸਦੀ ਤੁਸੀਂ ਪ੍ਰਕਿਰਿਆ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ ਅਤੇ ਬਹੁਮਤ ਨੂੰ ਰੱਦ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹੋ। ਪੂਰਵ-DNAT ਨੀਤੀ ਵਿੱਚ 'ਇਜਾਜ਼ਤ' ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਟ੍ਰੈਫਿਕ ਦੀ ਹੁਣ ਹੋਸਟੈਂਡਪੁਆਇੰਟ ਨੀਤੀ ਦੁਆਰਾ ਜਾਂਚ ਨਹੀਂ ਕੀਤੀ ਜਾਵੇਗੀ, ਜਦੋਂ ਕਿ ਪੂਰਵ-DNAT ਨੀਤੀ ਨੂੰ ਅਸਫਲ ਕਰਨ ਵਾਲਾ ਟ੍ਰੈਫਿਕ ਬਾਕੀ ਚੇਨਾਂ ਰਾਹੀਂ ਜਾਰੀ ਰਹੇਗਾ।
ਕੈਲੀਕੋ ਨੇ preDNAT ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ applyOnForward ਵਿਕਲਪ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣਾ ਲਾਜ਼ਮੀ ਕਰ ਦਿੱਤਾ ਹੈ, ਕਿਉਂਕਿ ਪਰਿਭਾਸ਼ਾ ਦੁਆਰਾ ਟ੍ਰੈਫਿਕ ਦੀ ਮੰਜ਼ਿਲ ਦੀ ਅਜੇ ਤੱਕ ਚੋਣ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ। ਟ੍ਰੈਫਿਕ ਨੂੰ ਹੋਸਟ ਪ੍ਰਕਿਰਿਆ ਵੱਲ ਨਿਰਦੇਸ਼ਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਜਾਂ ਇਸਨੂੰ ਇੱਕ ਪੌਡ ਜਾਂ ਕਿਸੇ ਹੋਰ ਨੋਡ ਵਿੱਚ ਅੱਗੇ ਭੇਜਿਆ ਜਾ ਸਕਦਾ ਹੈ।

ਅਨਟ੍ਰੈਕਡ ਪਾਲਿਸੀ (5)

ਨੈੱਟਵਰਕ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੇ ਵਿਹਾਰ ਵਿੱਚ ਵੱਡੇ ਅੰਤਰ ਹੋ ਸਕਦੇ ਹਨ। ਕੁਝ ਗੰਭੀਰ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਐਪਲੀਕੇਸ਼ਨ ਬਹੁਤ ਸਾਰੇ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਕਨੈਕਸ਼ਨ ਬਣਾ ਸਕਦੀਆਂ ਹਨ। ਇਹ ਕਨਟਰੈਕ (ਲੀਨਕਸ ਨੈਟਵਰਕਿੰਗ ਸਟੈਕ ਦਾ ਇੱਕ ਮੁੱਖ ਹਿੱਸਾ) ਦੀ ਮੈਮੋਰੀ ਨੂੰ ਖਤਮ ਕਰਨ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ। ਰਵਾਇਤੀ ਤੌਰ 'ਤੇ, ਲੀਨਕਸ 'ਤੇ ਇਸ ਕਿਸਮ ਦੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ, ਤੁਹਾਨੂੰ ਕੰਟਰੈਕ ਨੂੰ ਹੱਥੀਂ ਕੌਂਫਿਗਰ ਜਾਂ ਅਸਮਰੱਥ ਬਣਾਉਣਾ ਹੋਵੇਗਾ, ਜਾਂ ਕੰਟਰੈਕ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ iptables ਨਿਯਮ ਲਿਖਣੇ ਪੈਣਗੇ। ਜੇ ਤੁਸੀਂ ਜਿੰਨੀ ਜਲਦੀ ਹੋ ਸਕੇ ਕਨੈਕਸ਼ਨਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ ਤਾਂ ਕੈਲੀਕੋ ਵਿੱਚ ਅਨਟਰੈਕ ਕੀਤੀ ਨੀਤੀ ਇੱਕ ਸਰਲ ਅਤੇ ਵਧੇਰੇ ਕੁਸ਼ਲ ਵਿਕਲਪ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਜੇ ਤੁਸੀਂ ਵਿਸ਼ਾਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋ memcache ਜਾਂ ਵਿਰੁੱਧ ਸੁਰੱਖਿਆ ਦੇ ਇੱਕ ਵਾਧੂ ਮਾਪ ਵਜੋਂ ਡੀ.ਡੀ.ਓ.ਐੱਸ.

ਇਸ ਨੂੰ ਪੜ੍ਹੋ ਬਲਾਗ ਪੋਸਟ (ਜ ਸਾਡਾ ਅਨੁਵਾਦ) ਅਨਟ੍ਰੈਕ ਕੀਤੀ ਨੀਤੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪ੍ਰਦਰਸ਼ਨ ਟੈਸਟਾਂ ਸਮੇਤ ਹੋਰ ਜਾਣਕਾਰੀ ਲਈ।

ਜਦੋਂ ਤੁਸੀਂ Calico globalNetworkPolicy ਵਿੱਚ "doNotTrack: true" ਵਿਕਲਪ ਸੈੱਟ ਕਰਦੇ ਹੋ, ਤਾਂ ਇਹ ਇੱਕ **ਅਨਟ੍ਰੈਕ ਕੀਤੀ** ਨੀਤੀ ਬਣ ਜਾਂਦੀ ਹੈ ਅਤੇ Linux ਪੈਕੇਟ ਪ੍ਰੋਸੈਸਿੰਗ ਪਾਈਪਲਾਈਨ ਵਿੱਚ ਬਹੁਤ ਜਲਦੀ ਲਾਗੂ ਹੁੰਦੀ ਹੈ। ਉਪਰੋਕਤ ਚਿੱਤਰ ਨੂੰ ਦੇਖਦੇ ਹੋਏ, ਕਨੈਕਸ਼ਨ ਟਰੈਕਿੰਗ (ਕੰਟਰੈਕ) ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਕੱਚੀ ਸਾਰਣੀ ਵਿੱਚ ਪ੍ਰੀਰੂਟਿੰਗ ਅਤੇ ਆਉਟਪੁੱਟ ਚੇਨਾਂ ਵਿੱਚ ਅਣਟਰੈਕ ਕੀਤੀਆਂ ਨੀਤੀਆਂ ਲਾਗੂ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਜਦੋਂ ਇੱਕ ਪੈਕੇਟ ਨੂੰ ਟਰੈਕ ਨਾ ਕੀਤੀ ਗਈ ਨੀਤੀ ਦੁਆਰਾ ਆਗਿਆ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਇਸ ਨੂੰ ਉਸ ਪੈਕੇਟ ਲਈ ਕਨੈਕਸ਼ਨ ਟਰੈਕਿੰਗ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਣ ਲਈ ਚਿੰਨ੍ਹਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇਸਦਾ ਮਤਲਬ:

• ਅਨਟ੍ਰੈਕਡ ਪਾਲਿਸੀ ਪ੍ਰਤੀ-ਪੈਕੇਟ ਦੇ ਆਧਾਰ 'ਤੇ ਲਾਗੂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਕੁਨੈਕਸ਼ਨ (ਜਾਂ ਵਹਾਅ) ਦੀ ਕੋਈ ਧਾਰਨਾ ਨਹੀਂ ਹੈ। ਕੁਨੈਕਸ਼ਨਾਂ ਦੀ ਘਾਟ ਦੇ ਕਈ ਮਹੱਤਵਪੂਰਨ ਨਤੀਜੇ ਹਨ:
• ਜੇਕਰ ਤੁਸੀਂ ਬੇਨਤੀ ਅਤੇ ਜਵਾਬ ਟ੍ਰੈਫਿਕ ਦੋਵਾਂ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣਾ ਚਾਹੁੰਦੇ ਹੋ, ਤਾਂ ਤੁਹਾਨੂੰ ਅੰਦਰ ਵੱਲ ਅਤੇ ਆਊਟਬਾਉਂਡ ਦੋਵਾਂ ਲਈ ਇੱਕ ਨਿਯਮ ਦੀ ਲੋੜ ਹੈ (ਕਿਉਂਕਿ ਕੈਲੀਕੋ ਆਮ ਤੌਰ 'ਤੇ ਜਵਾਬ ਟ੍ਰੈਫਿਕ ਨੂੰ ਇਜਾਜ਼ਤ ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਕਰਨ ਲਈ ਕੰਟਰੈਕ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ)।
• ਅਨਟਰੈਕ ਕੀਤੀ ਨੀਤੀ ਕੁਬਰਨੇਟਸ ਵਰਕਲੋਡ (ਪੋਡ) ਲਈ ਕੰਮ ਨਹੀਂ ਕਰਦੀ, ਕਿਉਂਕਿ ਇਸ ਸਥਿਤੀ ਵਿੱਚ ਪੌਡ ਤੋਂ ਬਾਹਰ ਜਾਣ ਵਾਲੇ ਕਨੈਕਸ਼ਨ ਨੂੰ ਟਰੈਕ ਕਰਨ ਦਾ ਕੋਈ ਤਰੀਕਾ ਨਹੀਂ ਹੈ।
• NAT ਅਨਟਰੈਕ ਕੀਤੇ ਪੈਕੇਟਾਂ ਨਾਲ ਸਹੀ ਢੰਗ ਨਾਲ ਕੰਮ ਨਹੀਂ ਕਰਦਾ (ਕਿਉਂਕਿ ਕਰਨਲ NAT ਮੈਪਿੰਗ ਨੂੰ ਕੰਟਰੈਕ ਵਿੱਚ ਸਟੋਰ ਕਰਦਾ ਹੈ)।
• ਅਨਟ੍ਰੈਕਡ ਪਾਲਿਸੀ ਵਿੱਚ "ਸਭ ਨੂੰ ਇਜਾਜ਼ਤ ਦਿਓ" ਨਿਯਮ ਵਿੱਚੋਂ ਲੰਘਣ ਵੇਲੇ, ਸਾਰੇ ਪੈਕੇਟਾਂ ਨੂੰ ਅਣਟਰੈਕ ਕੀਤੇ ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਕੀਤਾ ਜਾਵੇਗਾ। ਇਹ ਲਗਭਗ ਹਮੇਸ਼ਾ ਉਹ ਨਹੀਂ ਹੁੰਦਾ ਜੋ ਤੁਸੀਂ ਚਾਹੁੰਦੇ ਹੋ, ਇਸਲਈ ਅਨਟ੍ਰੈਕ ਕੀਤੀਆਂ ਨੀਤੀਆਂ (ਅਤੇ ਜ਼ਿਆਦਾਤਰ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸਧਾਰਣ ਟਰੈਕ ਕੀਤੀਆਂ ਨੀਤੀਆਂ ਦੁਆਰਾ ਜਾਣ ਦੀ ਆਗਿਆ ਦੇਣ) ਦੁਆਰਾ ਮਨਜ਼ੂਰ ਪੈਕੇਟਾਂ ਬਾਰੇ ਬਹੁਤ ਚੋਣਵੇਂ ਹੋਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ।
• ਪੈਕੇਟ ਪ੍ਰੋਸੈਸਿੰਗ ਪਾਈਪਲਾਈਨ ਦੇ ਬਿਲਕੁਲ ਸ਼ੁਰੂ ਵਿੱਚ ਅਣਟਰੈਕ ਕੀਤੀਆਂ ਨੀਤੀਆਂ ਲਾਗੂ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਕੈਲੀਕੋ ਨੀਤੀਆਂ ਬਣਾਉਣ ਵੇਲੇ ਇਹ ਸਮਝਣਾ ਬਹੁਤ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਤੁਹਾਡੇ ਕੋਲ ਆਰਡਰ: 1 ਦੇ ਨਾਲ ਇੱਕ ਪੌਡ ਪਾਲਿਸੀ ਅਤੇ ਆਰਡਰ: 1000 ਦੇ ਨਾਲ ਇੱਕ ਅਨਟ੍ਰੈਕ ਨੀਤੀ ਹੋ ਸਕਦੀ ਹੈ। ਇਸ ਨਾਲ ਕੋਈ ਫ਼ਰਕ ਨਹੀਂ ਪਵੇਗਾ। ਪੋਡ ਲਈ ਪਾਲਿਸੀ ਤੋਂ ਪਹਿਲਾਂ ਅਨਟ੍ਰੈਕਡ ਪਾਲਿਸੀ ਲਾਗੂ ਕੀਤੀ ਜਾਵੇਗੀ। ਅਨਟ੍ਰੈਕ ਕੀਤੀਆਂ ਨੀਤੀਆਂ ਸਿਰਫ਼ ਆਪਸ ਵਿੱਚ ਹੀ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਆਰਡਰ ਦਾ ਸਨਮਾਨ ਕਰਦੀਆਂ ਹਨ।

ਕਿਉਂਕਿ doNotTrack ਨੀਤੀ ਦੇ ਉਦੇਸ਼ਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੀਤੀ ਨੂੰ ਲੀਨਕਸ ਪੈਕੇਟ ਪ੍ਰੋਸੈਸਿੰਗ ਪਾਈਪਲਾਈਨ ਵਿੱਚ ਬਹੁਤ ਜਲਦੀ ਲਾਗੂ ਕਰਨਾ ਹੈ, ਕੈਲੀਕੋ doNotTrack ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ applyOnForward ਵਿਕਲਪ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨਾ ਲਾਜ਼ਮੀ ਬਣਾਉਂਦਾ ਹੈ। ਪੈਕੇਟ ਪ੍ਰੋਸੈਸਿੰਗ ਡਾਇਗ੍ਰਾਮ ਦਾ ਹਵਾਲਾ ਦਿੰਦੇ ਹੋਏ, ਨੋਟ ਕਰੋ ਕਿ ਕਿਸੇ ਵੀ ਰੂਟਿੰਗ ਫੈਸਲਿਆਂ ਤੋਂ ਪਹਿਲਾਂ ਅਨਟ੍ਰੈਕਡ (5) ਨੀਤੀ ਲਾਗੂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਟ੍ਰੈਫਿਕ ਨੂੰ ਹੋਸਟ ਪ੍ਰਕਿਰਿਆ ਵੱਲ ਨਿਰਦੇਸ਼ਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਜਾਂ ਇਸਨੂੰ ਇੱਕ ਪੌਡ ਜਾਂ ਕਿਸੇ ਹੋਰ ਨੋਡ ਵਿੱਚ ਅੱਗੇ ਭੇਜਿਆ ਜਾ ਸਕਦਾ ਹੈ।

ਨਤੀਜੇ

ਅਸੀਂ ਕੈਲੀਕੋ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਨੀਤੀ ਵਿਕਲਪਾਂ (ਹੋਸਟ ਐਂਡਪੁਆਇੰਟ, ਅਪਲਾਈਓਨਫੋਰਡ, ਪ੍ਰੀਡੀਐਨਏਟੀ, ਅਤੇ ਅਨਟਰੈਕਡ) ਨੂੰ ਦੇਖਿਆ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਪੈਕੇਟ ਪ੍ਰੋਸੈਸਿੰਗ ਮਾਰਗ ਦੇ ਨਾਲ ਕਿਵੇਂ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਸਮਝਣਾ ਕਿ ਉਹ ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਅਤੇ ਸੁਰੱਖਿਅਤ ਨੀਤੀਆਂ ਨੂੰ ਵਿਕਸਤ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦੇ ਹਨ। ਕੈਲੀਕੋ ਦੇ ਨਾਲ ਤੁਸੀਂ ਇੱਕ ਗਲੋਬਲ ਨੈਟਵਰਕ ਨੀਤੀ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ ਜੋ ਇੱਕ ਲੇਬਲ (ਨੋਡਾਂ ਅਤੇ ਪੌਡਾਂ ਦਾ ਇੱਕ ਸਮੂਹ) 'ਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ ਅਤੇ ਵੱਖ-ਵੱਖ ਮਾਪਦੰਡਾਂ ਨਾਲ ਨੀਤੀਆਂ ਲਾਗੂ ਕਰਦੀ ਹੈ। ਇਹ ਸੁਰੱਖਿਆ ਅਤੇ ਨੈਟਵਰਕ ਡਿਜ਼ਾਈਨ ਪੇਸ਼ੇਵਰਾਂ ਨੂੰ ਕੈਲੀਕੋ ਨੀਤੀਆਂ ਦੇ ਨਾਲ ਇੱਕ ਇੱਕਲੀ ਨੀਤੀ ਭਾਸ਼ਾ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ "ਸਭ ਕੁਝ" (ਐਂਡਪੁਆਇੰਟ ਕਿਸਮਾਂ) ਨੂੰ ਇੱਕ ਵਾਰ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਰਸੀਦ: ਮੈਂ ਧੰਨਵਾਦ ਕਰਨਾ ਚਾਹਾਂਗਾ ਸੀਨ ਕ੍ਰੈਂਪਟਨ и ਅਲੈਕਸਾ ਪੋਲੀਟਾ ਉਹਨਾਂ ਦੀ ਸਮੀਖਿਆ ਅਤੇ ਕੀਮਤੀ ਜਾਣਕਾਰੀ ਲਈ।

ਸਰੋਤ: www.habr.com