Ինչպես փոխազդում են Kubernetes-ում գործարկված ծրագրերը միմյանց հետ?

Կիբերանվտանգության միջավայրում, Kubernetes- ում հավելվածների փոխազդեցությունը հիմնականում տեղի է ունենում ցանցային ծառայությունների միջոցով:

1. Ծառայությունների հայտնաբերում: Հավելվածները ուղղակիորեն չեն կապվում պոդերի IP հասցեների միջոցով, քանի որ պոդերի IP-ները ժամանակավոր են և կարող են փոխվել վերականգնման ժամանակ: Փոխարենը, նրանք օգտագործում են Ծառայությունների հայտնաբերում, որը ապահովում է կայուն DNS անուն և IP հասցե նույն ֆունկցիան իրականացնող պոդերի խմբի համար:

   • ClusterIP: Դեպի-դեպի ծառայության տիպ, որը տրամադրում է ներքին IP, հասանելի միայն կլաստերի ներսում:
   • NodePort: Բացում է կայուն պորտ յուրաքանչյուր հանգույցում, որը փոխանցում է տրաֆիկը ClusterIP ծառայությանը:
   • LoadBalancer: Ստեղծում է արտաքին բեռի հավասարակշռիչ (եթե մատչելի է):
   • ExternalName: Ծառայությունը կարող է հղում կատարել արտաքին DNS անվան:

2. DNS: Kubernetes- ը տրամադրում է ներքին DNS սերվեր (օրինակ, CoreDNS), որը ավտոմատ կերպով ստեղծում է DNS անուններ ծառայությունների համար: Հավելվածը կարող է կապվել այլ ծառայության հետ անունով service-name.namespace.svc.cluster.local կամ կրճատված service-name:

3. Ցանցային քաղաքականություններ: Դրանք սահմանում են, թե ինչպես կարող են խմբեր պոդերի փոխազդել միմյանց և արտաքին ցանցային կետերի հետ: Դրանք օգտագործվում են ցանցային տրաֆիկի մեկուսացման համար անվտանգության նկատառումներով:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: deny-all-ingress
     namespace: default
   spec:
     podSelector: {} # Կիրառվում է բոլոր պոդերի վրա `default` նեյմսփեյսում
     policyTypes:
     - Ingress
     ingress: [] # Արգելում է բոլոր մուտքային տրաֆիկը
   

4. Ingress: Կառավարում է արտաքին մուտքը կլաստերի ծառայություններին, սովորաբար HTTP/HTTPS-ով: Ingress- ի վերահսկիչը (օրինակ, Nginx Ingress, Traefik) ուղղորդում է տրաֆիկը արտաքին ցանցից դեպի համապատասխան ներքին ծառայություններ՝ ըստ կանոնների, որոնք սահմանված են Ingress ռեսուրսում:

5. Service Mesh: (օրինակ, Istio, Linkerd) ավելացնում է լրացուցիչ մակարդակ և ֆունկցիոնալություն ծառայությունների փոխազդեցության համար: Այն ապահովում է հնարավորություններ, ինչպիսիք են mutual TLS, հարցումների трасշիրումը, մետրիակները, տրաֆիկի կառավարումը (A/B փորձարկումներ, կաթնային ռելիզներ)՝ պրոքսի սերվերների (sidecar կոնտեյներների) մակարդակով, որոնք ավելացվում են յուրաքանչյուր պոդին:

Այսպիսով, հիմնական փոխազդեցության մեխանիզմներն են DNS-ով ծառայությունների հայտնաբերում և տարբեր տեսակի ծառայություններ, որոնք լրացվում են ցանցային քաղաքականություններով՝ անվտանգության համար, և Ingress/Service Mesh- ով՝ ավելի բարդ տրաֆիկի կառավարման և դիտելիության համար։