安全的 Kubernetes Ingress 和 Egress Controller,如何应对kubernetes的安全挑战-ESG跨境

安全的 Kubernetes Ingress 和 Egress Controller,如何应对kubernetes的安全挑战

安全的 Kubernetes Ingress 和 Egress Controller

本文旨在描述如何部署VoltMesh集群，以充当部署至现有Kubernetes基础架构中的出海应用工作负载的高可用型Ingress和Egress Controller。

本文提供了两种设计方式：

设计一利用BGP (Calico)实现最佳负载均衡性能，同时提供最大冗余

设计二利用NodePort服务实现最大兼容性，但负载均衡特性欠佳，出口流量可能会丢失冗余

设计一：使用CALICO和BGP的POD路由

在此设计中，将1个三节点VoltMesh集群部署至现有Kubernetes集群前端，并安装Calico CNI网络插件，以便为应用工作负载提供进出流量路由和网络安全防护。尽管这一解决方案设计侧重于Calico，但也可在未封装的情况下替代其他支持BGP的CNI插件。

您可以通过Volterra服务发现与Kubernetes API服务器的集成自动发现应用端点，从而执行实时检测。随着应用工作负载不断横向扩展和收缩，这些应用端点或Pod IP将自动在VoltMesh源池中进行添加和删除，有助于实现零接触负载均衡器重新配置。

通过服务发现识别应用Pod IP后，VoltMesh集群和应用Pod之间的3层路由将通过Pod IP路由的BGP通告启用。该集群中的所有VoltMesh节点将直接对等互连Calico节点，或通过中间的“架顶式”路由器对等互连。VoltMesh支持eBGP和iBGP对等互连。

在直接对等互连VoltMesh节点与Calico节点时，请务必注意VoltMesh不是路由反射器服务器—Calico节点之间的内部对等互连对于在Kubernetes集群内共享Pod IP信息必不可少，这样方可避免向每个Pod到Pod请求添加额外的跳数，甚至破坏Pod到Pod通信。内部对等互连可通过全网状部署（适用于小规模部署）或通过充当路由反射器的指定Calico节点（适用于大中规模部署）实现。

为了针对应用工作负载启用VoltMesh Egress Controller功能，VoltMesh集群需要检查离开Kubernetes集群的所有流量，以便在3、4和7层应用可配置的安全策略。

如果直接对等互连VoltMesh节点与Calico节点，则集群中的单个VoltMesh节点将成为所有离开Kubernetes集群的流量的默认网关或“下一跳”。默认路由通过BGP从VoltMesh集群通告给所有Kubernetes节点，并由Calico安装至主机操作系统。如果用作默认网关的VoltMesh节点因任何原因发生故障，VoltMesh集群均可检测到，并通过BGP自动将新的网关地址传播到Kubernetes节点。

通过中间路由器对等互连VoltMesh节点可以在VoltMesh集群和路由器之间创建等价多路径(ECMP)路由，以支持出口流量通过所有三个VoltMesh节点而非单个节点进行路由，从而充分利用全主配置，而非主/备/备配置。由VoltMesh集群通过BGP传播的默认网关不会通告给Kubernetes节点，每个Kubernetes节点的下一跳仍然是路由器。

虚拟IP或VIP均被用于部署在VoltMesh集群上的所有HTTP(S)和TCP负载均衡器。当一个VoltMesh节点发生故障时，每个VIP均可使用VRRP实现高可用性，并通过BGP进行通告。

总结

这一设计能够为关键任务应用提供高可用性和容错性，是推荐的部署配置。

特别声明：以上文章内容仅代表作者本人观点，不代表ESG跨境电商观点或立场。如有关于作品内容、版权或其它问题请于作品发表后的30日内与ESG跨境电商联系。