Kube.netes 向同一 su.net 上的服务器开放端口

Question

我正在 Kube.netes pod 中启动一项服务，我希望该服务仅可用于同一 su.net 上的服务器。

我创建了一个带有 LoadBalancer 的服务，打开了所需的端口。 我可以通过集群上的其他 pod 连接到这些端口，但我无法从运行在同一个 su.net 上的虚拟机进行连接。

到目前为止，我最好的解决方案是分配一个 loadBalancerIP 并使用 loadBalancerSourceRanges 对其进行限制，但这仍然感觉太公开了。

我尝试连接到我的服务的虚拟机是临时的，并且分配了范围广泛的公共 IP，因此我的 loadBalancerSourceRanges 感觉太宽泛了。

我的理解是我可以从同一个 su.net 上的服务器连接到内部 LoadBalancer cluster-ip，但是情况似乎并非如此。

是否有另一种解决方案可以将此服务限制为来自我缺少的内部 IP 的连接？

这一切都在 GKE 上运行。

任何帮助将非常感激。

Answer 1

我认为您在这里有点正确，但不确定您为什么提到cluster-ip

我的理解是我可以从同一个 su.net 上的服务器连接到内部 LoadBalancer cluster-ip，但是情况似乎并非如此。

现在，如果您有在GKE上运行的部署，并且已使用服务类型LoadBalancer公开它并拥有内部 LB ，您将能够跨同一VPC访问内部 LB。

apiVersion: v1
kind: Service
metadata:
  name: internal-svc
  annotations:
    networking.gke.io/load-balancer-type: "Internal"
spec:
  type: LoadBalancer
  externalTrafficPolicy: Cluster
  selector:
    app: internal-svcinternal-svc
  ports:
  - name: tcp-port
    protocol: TCP
    port: 8080
    targetPort: 8080

应用更改后使用检查状态

kubectl get service internal-svc --output yaml

在 YAML output 最后一节检查

status:
  loadBalancer:
    ingress:
    - ip: 10.127.40.241

这是您实际的IP ，您可以使用它来连接来自 su.net 中其他VM的服务。

文档参考

Answer 2

要将服务限制为仅对同一 su.net 上的服务器可用，您可以结合使用网络策略和服务帐户。

首先，您需要创建一个网络策略，指定允许访问您的服务的源 IP 范围。 为此，您需要创建一个 YAML 文件，其中包含以下内容：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-same-subnet-traffic
spec:
  podSelector: {}
  ingress:
  - from:
    - ipBlock:
        cidr: <subnet-range-cidr>
    ports:
    - protocol: TCP
      port: <port-number>

将<su.net-range-cidr>和<port-number>占位符替换为相关的 IP 地址范围和端口号。 创建此 YAML 文件后，您可以使用以下命令将其应用于集群：

kubectl apply -f path-to-yaml-file

接下来，您需要一个服务帐户并将其分配给该服务。 您可以使用服务帐户来验证传入的请求。 为此，您需要使用以下命令将服务帐户添加到服务的元数据中：

kubectl edit service <service-name>

您必须首先创建一个 Role 或 ClusterRole 并授予它访问 .network 策略的权限，然后才能为其分配服务帐户。 当您将 Role 或 ClusterRole 绑定到它时，.network 策略将应用于服务帐户。 这可以使用 Kube.netes kubectl 命令行工具完成，如下所示：

kubectl create role <role_name> --verb=get --resource=networkpolicies
kubectl create clusterrole <clusterrole_name> --verb=get --resource=networkpolicies
kubectl create rolebinding <rolebinding_name> --role=<role_name> --serviceaccount=<service_account_name>
kubectl create clusterrolebinding <clusterrolebinding_name> --clusterrole=<clusterrole_name> --serviceaccount=<service_account_name>

当 Role 或 ClusterRole 绑定到它时，.network 策略将应用于使用服务帐户的所有 pod。 要访问该服务，传入请求将需要在添加服务帐户后进行身份验证。 因此，只有经过授权的请求才能访问该服务。

有关更多信息，请遵循此文档。