Разумевање опција мрежне политике уз Цалицо

Мрежни додатак Цалицо пружа широк спектар мрежних политика са унифицираном синтаксом за заштиту хардверских хостова, виртуелних машина и модула. Ове смернице могу да се примењују у оквиру именског простора или да буду глобалне мрежне смернице које се примењују на крајња тачка домаћина (за заштиту апликација које раде директно на хосту - хост може бити сервер или виртуелна машина) или крајња тачка радног оптерећења (за заштиту апликација које раде у контејнерима или хостованим виртуелним машинама). Цалицо политике вам омогућавају да примените мере безбедности на различитим тачкама путање пакета користећи опције као што су преДНАТ, унрацкед и апплиОнФорвард. Разумевање начина на који ове опције функционишу може помоћи у побољшању безбедности и перформанси вашег целокупног система. Овај чланак објашњава суштину ових опција политике Цалицо (преДНАТ, унрацкед и апплиОнФорвард) примењених на крајње тачке домаћина, са нагласком на томе шта се дешава у путањама обраде пакета (иптабелс ланци).

Овај чланак претпоставља да имате основно разумевање како функционишу Кубернетес и Цалицо мрежне политике. Ако не, препоручујемо да пробате основни водич мрежне политике и водич за заштиту домаћина користећи Цалицо пре него што прочитате овај чланак. Такође очекујемо да имате основно разумевање рада iptables у линуксу.

Цалицо глобална мрежна политика омогућава вам да примените скуп правила приступа према ознакама (на групе хостова и радних оптерећења/подова). Ово је веома корисно ако заједно користите хетерогене системе – виртуелне машине, систем директно на хардверу или кубернетес инфраструктуру. Поред тога, можете да заштитите свој кластер (чворове) коришћењем скупа декларативних смерница и примените мрежне смернице на долазни саобраћај (на пример, преко услуге НодеПортс или Ектернал ИПс).

На фундаменталном нивоу, када Цалицо повеже под са мрежом (погледајте дијаграм испод), он га повезује са хостом користећи виртуелни Етхернет интерфејс (ветх). Саобраћај који шаље под долази до хоста са овог виртуелног интерфејса и обрађује се на исти начин као да долази са физичког мрежног интерфејса. Подразумевано, Цалицо овим интерфејсима даје назив цалиКСКСКС. Пошто саобраћај долази преко виртуелног интерфејса, он иде кроз иптаблес као да је под удаљен један скок. Стога, када саобраћај дође до/са под, он се прослеђује са тачке гледишта домаћина.

На Кубернетес чвору који покреће Цалицо, можете мапирати виртуелни интерфејс (ветх) у радно оптерећење на следећи начин. У примеру испод можете видети да је ветх#10 (цалиц1цбф1ца0ф8) повезан са цнк-манагер-* у цалицо-мониторинг именском простору.

[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
    link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
    inet6 fe80::ecee:eeff:feee:eeee/64 scope link
       valid_lft forever preferred_lft forever
...

[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m                            ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...

С обзиром на то да Цалицо креира ветх интерфејс за свако радно оптерећење, како спроводи смернице? Да би то урадио, Цалицо креира куке у различитим ланцима путање за обраду пакета користећи иптаблес.

Дијаграм испод приказује ланце укључене у обраду пакета у иптаблес-у (или подсистему нетфилтер). Када пакет стигне преко мрежног интерфејса, он прво пролази кроз ланац ПРЕРОУТИНГ. Затим се доноси одлука о рутирању и на основу тога пакет пролази или кроз ИНПУТ (усмерен на хост процесе) или ФОРВАРД (усмерен на под или други чвор на мрежи). Из локалног процеса, пакет пролази кроз ОУТПУТ, а затим ПОСТРОУТИНГ ланац пре него што се пошаље низ кабл.

Имајте на уму да је под такође спољни ентитет (повезан са ветх-ом) у смислу обраде иптаблес-а. Хајде да сумирамо:

• Прослеђени саобраћај (национални, рутирани или ка/од под) пролази кроз ланце ПРЕРОУТИНГ - ФОРВАРД - ПОСТРОУТИНГ.
• Саобраћај до локалног хост процеса пролази кроз ланац ПРЕРАТУИРАЊЕ - ИНПУТ.
• Саобраћај из локалног хост процеса пролази кроз ланац ИЗЛАЗ - ПОСТРОУТИНГ.

Цалицо нуди опције политике које вам омогућавају да примењујете смернице у свим ланцима. Имајући то на уму, погледајмо различите опције конфигурације политике доступне у Цалицо-у. Бројеви на листи опција испод одговарају бројевима на дијаграму изнад.

1. Политика крајње тачке радног оптерећења (под).
2. Политика крајње тачке домаћина
3. Опција АпплиОнФорвард
4. ПреДНАТ Полици
5. Унтрацкед Полици

Хајде да почнемо тако што ћемо погледати како се смернице примењују на крајње тачке радног оптерећења (Кубернетес под или ОпенСтацк ВМ), а затим погледамо опције смерница за крајње тачке хоста.

Крајње тачке радног оптерећења

Политика крајње тачке радног оптерећења (1)

Ово је опција за заштиту ваших кубернетес подова. Цалицо подржава рад са Кубернетес НетворкПолици, али такође пружа додатне политике - Цалицо НетворкПолици и ГлобалНетворкПолици. Цалицо креира ланац за сваку под (радно оптерећење) и закачи у ИНПУТ и ОУТПУТ ланце за радно оптерећење на табелу филтера ланца ФОРВАРД.

Хост Ендпоинтс

Политика крајње тачке домаћина (2)

Поред ЦНИ (интерфејса мреже контејнера), Цалицо политике пружају могућност заштите самог хоста. У Цалицо-у можете креирати крајњу тачку домаћина тако што ћете навести комбинацију интерфејса хоста и, ако је потребно, бројева портова. Спровођење политике за овај ентитет се постиже коришћењем табеле филтера у ИНПУТ и ОУТПУТ ланцима. Као што можете видети из дијаграма, (2) се примењују на локалне процесе на чвору/хост-у. То јест, ако креирате политику која се примењује на крајњу тачку хоста, то неће утицати на саобраћај који иде ка/из ваших подова. Али пружа један интерфејс/синтаксу за блокирање саобраћаја за ваш хост и подове користећи Цалицо смернице. Ово у великој мери поједностављује процес управљања политикама за хетерогену мрежу. Конфигурисање политика крајњих тачака хоста за побољшање безбедности кластера је још један важан случај употребе.

Политика АпплиОнФорвард (3)

Опција АпплиОнФорвард је доступна у глобалној мрежној политици Цалицо како би се омогућила примена смерница на сав саобраћај који пролази кроз крајњу тачку хоста, укључујући саобраћај који ће хост прослеђивати. Ово укључује саобраћај прослеђен на локални под или било где другде на мрежи. Цалицо захтева да ово подешавање буде омогућено за политике које користе ПреДНАТ и које се не прате, погледајте следеће одељке. Додатно, АпплиОнФорвард се може користити за надгледање саобраћаја домаћина у случајевима када се користи виртуелни рутер или софтверски НАТ.

Имајте на уму да ако треба да примените исту мрежну политику и на хост процесе и на подове, онда не морате да користите опцију АпплиОнФорвард. Све што треба да урадите је да креирате ознаку за потребну крајњу тачку хоста и радног оптерећења (под). Цалицо је довољно паметан да примени политику засновану на ознакама, без обзира на тип крајње тачке (хостендпоинт или радно оптерећење).

ПреДНАТ политика (4)

У Кубернетес-у, портови услужног ентитета могу бити изложени екстерно помоћу опције НодеПортс или, опционо (када се користи Цалицо), оглашавањем помоћу опција Цлустер ИПс или Ектернал ИПс. Кубе-проки балансира долазни саобраћај везан за услугу на подове одговарајуће услуге користећи ДНАТ. С обзиром на ово, како спроводите смернице за саобраћај који долази преко НодеПорт-ова? Да би се осигурало да се ове смернице примењују пре него што саобраћај обради ДНАТ (што је мапирање између хост:порта и одговарајуће услуге), Цалицо обезбеђује параметар за глобалНетворкПолици под називом "преДНАТ: труе".

Када је пре-ДНАТ омогућен, ове политике се имплементирају у (4) на дијаграму - у табели мангле ланца ПРЕРОУТИНГ - непосредно пре ДНАТ-а. Овде се не поштује уобичајени редослед политика, пошто се примена ових смерница дешава много раније на путу обраде саобраћаја. Међутим, преДНАТ политике поштују редослед примене међу собом.

Када креирате смернице са пре-ДНАТ-ом, важно је да водите рачуна о саобраћају који желите да обрадите и дозволите да већина буде одбијена. Саобраћај означен као „дозвољен“ у политици пре-ДНАТ више неће бити провераван политиком хостендпоинт-а, док ће саобраћај који не успе у политици пре-ДНАТ наставити кроз преостале ланце.
Цалицо је учинио обавезним омогућавање опције апплиОнФорвард када се користи преДНАТ, пошто по дефиницији одредиште саобраћаја још није изабрано. Саобраћај се може усмерити на процес домаћина, или може бити прослеђен на под или други чвор.

Непраћена политика (5)

Мреже и апликације могу имати велике разлике у понашању. У неким екстремним случајевима, апликације могу генерисати много краткотрајних веза. Ово може довести до тога да цоннтрацк (основна компонента Линук мрежног стека) остане без меморије. Традиционално, да бисте покренули ове врсте апликација на Линук-у, морали бисте ручно да конфигуришете или онемогућите цоннтрацк, или да напишете иптаблес правила да бисте заобишли цоннтрацк. Непраћена политика у Цалицо-у је једноставнија и ефикаснија опција ако желите да обрадите везе што је брже могуће. На пример, ако користите масивну мемцацхе или као додатна мера заштите од ДДоС.

Прочитај ово блог пост (Или наш превод) за више информација, укључујући тестове перформанси помоћу непраћених смерница.

Када подесите опцију „доНотТрацк: труе“ у Цалицо глобалНетворкПолици, она постаје **непраћена** политика и примењује се веома рано у цевоводу за обраду Линук пакета. Гледајући горњи дијаграм, политике које се не прате се примењују у ланцима ПРЕРОУТИНГ и ОУТПУТ у сировој табели пре него што се започне праћење везе (цоннтрацк). Када је пакет дозвољен непраћеним смерницама, он је означен да онемогућава праћење везе за тај пакет. То значи:

• Непраћена политика се примењује на основу пакета. Не постоји концепт везе (или тока). Недостатак веза има неколико важних последица:
• Ако желите да дозволите саобраћај захтева и одговора, потребно вам је правило за долазни и одлазни саобраћај (пошто Цалицо обично користи цоннтрацк да означи саобраћај одговора као дозвољен).
• Непраћена политика не функционише за Кубернетес радна оптерећења (подове), јер у овом случају не постоји начин да се прати одлазна веза из модула.
• НАТ не ради исправно са непраћеним пакетима (пошто кернел чува НАТ мапирање у цоннтрацк-у).
• Када се прође кроз правило „дозволи све“ у политици непраћених, сви пакети ће бити означени као непраћени. Ово скоро увек није оно што желите, тако да је важно да будете веома селективни у вези са пакетима које дозвољавају непраћене смернице (и дозволите да већина саобраћаја прође кроз нормалне смернице за праћење).
• Непраћене политике се примењују на самом почетку цевовода за обраду пакета. Ово је веома важно разумети када креирате Цалицо политике. Можете имати полису за капсуле са налогом:1 и полису без праћења са налогом:1000. Неће бити важно. Смерница Унтрацкед ће бити примењена пре политике за групу. Непраћене политике поштују налог извршења само међу собом.

Пошто је једна од сврха политике доНотТрацк да примени политику веома рано у цевоводу за обраду Линук пакета, Цалицо чини обавезним навођење опције апплиОнФорвард када се користи доНотТрацк. Позивајући се на дијаграм обраде пакета, имајте на уму да се политика унтрацкед(5) примењује пре било каквих одлука о рутирању. Саобраћај се може усмерити на процес домаћина, или може бити прослеђен на под или други чвор.

Резултати

Погледали смо различите опције политике (Хост ендпоинт, АпплиОнФорвард, преДНАТ и Унтрацкед) у Цалицо-у и како се оне примењују дуж путање обраде пакета. Разумевање како они функционишу помаже у развоју ефикасних и безбедних политика. Са Цалицо-ом можете користити политику глобалне мреже која се примењује на ознаку (групу чворова и подова) и применити смернице са различитим параметрима. Ово омогућава професионалцима за безбедност и дизајн мреже да једноставно заштите „све“ (типове крајњих тачака) одједном користећи један језик политика са Цалицо смерницама.

Признање: Желео бих да се захвалим Сеан Црамптон и Алека Поллитта за њихов преглед и драгоцене информације.

Извор: ввв.хабр.цом